Expertos en ciberseguridad identificaron tres grupos de paquetes maliciosos en los repositorios npm y Python Package Index (PyPI). Los paquetes incluyen funciones que permiten sustraer información y borrar datos sensibles de sistemas comprometidos.
Paquetes afectados
Se identificaron los siguientes paquetes: @async-mutex/mutex, dexscreener, solana-transaction-toolkit, solana-stable-web-huks, cschokidar-next, achokidar-next, achalk-next, cshalk-next, cschalk, pycord-self.
El paquete @async-mutex/mutex es un engaño tipográfico de sync-mute. El paquete dexscreener aparenta ser una biblioteca para obtener datos de liquidez de intercambios descentralizados (DEX) e interactúa con la plataforma DEX Screener.
Ataques relacionados con Solana
Los paquetes solana-transaction-toolkit y solana-stable-web-huks agotan los fondos de manera automática, transfiriendo hasta el 98% del contenido de las billeteras hacia una dirección de Solana controlada por atacantes.
La compañía de seguridad en la cadena de suministro Socket reportó el hallazgo de dos repositorios de GitHub publicados por los mismos actores maliciosos detrás de solana-transaction-toolkit y solana-stable-web-huks. Los repositorios se presentan como herramientas de desarrollo de Solana o scripts para automatizar procesos comunes de DeFi, pero importan paquetes maliciosos de npm.
Repositorios maliciosos en GitHub
Las cuentas de GitHub vinculadas en esos repositorios, moonshot-wif-hwan y Diveinprogramming, ya no están disponibles. En el repositorio moonshot-wif-hwan/pumpfun-bump-script-bot se ofrece un script que supuestamente es un bot de trading para Raydium, pero introduce código malicioso proveniente del paquete solana-stable-web-huks.
Funcionalidades adicionales de los paquetes
El segundo grupo de paquetes npm incluye una función de 'interruptor de apagado' capaz de eliminar archivos en ciertos directorios del proyecto y exfiltrar variables de entorno a un servidor remoto.
El paquete suplantado csbchalk-next inicia la supresión de datos al recibir el código 202 desde el servidor. El paquete pycord-self está dirigido a desarrolladores de Python que quieren integrar las APIs de Discord, capturando tokens de autenticación y conectándose a un servidor controlado por atacantes.
Conexión con otras amenazas
Los hallazgos surgen en el momento en que ciberdelincuentes también están focalizándose en usuarios de Roblox mediante bibliotecas falsas diseñadas para robar información utilizando malware como Skuld y Blank-Grabber.