Los responsables del sistema de construcción Nx alertaron sobre un ataque grave a su cadena de suministró. Se detectaron versiones maliciosas de paquetes npm relacionados con S1ngularity que incluían código para extraer información sensible.
Riesgos asociados al ataque
El ataque podría permitir el robo de credenciales y acceso a repositorios. Se facilitaría la ejecución remota de comandos en entornos de desarrollo y pipelines de CI/CD. Se podrían generar ataques en cascada a usuarios que descarguen proyectos construidos con dependencias afectadas.
Impacto de la filtración
Se estima que 2 349 credenciales —de GitHub, servicios en la nube y plataformas de IA— fueron filtradas a servidores controlados por los atacantes.
Mitigaciones recomendadas
- Revisar y auditar las dependencias de manera periódica.
- Emplear archivos de bloqueo de versiones (lockfiles) para evitar instalaciones inesperadas.
- Aislar entornos de compilación e integración, limitando al mínimo los secretos accesibles.
- Antes de integrar paquetes en proyectos críticos, comprobar firmas digitales y sumas de verificación.
- Comunicar y retirar rápidamente las librerías fraudulentas del registro npm para frenar su propagación.