Por Canuto  

Un gusano npm preparó 42 repositorios de GitHub y escondió sus cargas maliciosas en archivos demasiado grandes para aparecer en algunas búsquedas habituales. JFrog vincula la campaña con cuentas secuestradas, robo de credenciales y mecanismos para propagarse entre paquetes y herramientas de desarrollo.
***

  • JFrog identificó 42 repositorios de GitHub asociados con 11 propietarios y preparados para propagar malware.
  • Los archivos de entre 12,9 y 13,7 MB buscaban evadir rutas de búsqueda y API que suelen ayudar a detectar compromisos.
  • El gusano roba credenciales e incluye un componente de borrado que puede eliminar el directorio personal si la víctima revoca el token robado.

Un gusano npm preparó 42 repositorios de GitHub con cargas ocultas

Un gusano de la cadena de suministro de software, inicialmente considerado una prueba sin víctimas, habría preparado 42 repositorios de GitHub para propagar malware. El análisis de JFrog encontró que las cuentas afectadas pertenecían a 11 propietarios y que el operador ocultó cargas de gran tamaño para dificultar su detección mediante las búsquedas habituales de la plataforma.

La campaña, denominada testmetest, combina robo de credenciales, alteraciones en repositorios y configuraciones de integración continua, además de propagación mediante paquetes npm. El caso amplía el alcance que se atribuía a la operación: SafeDep había detectado actividad vinculada al operador, pero sus hallazgos iniciales apuntaban a cuentas de prueba del propio responsable.

De una supuesta prueba a repositorios preparados

SafeDep, una empresa especializada en seguridad de la cadena de suministro de código abierto, identificó 15 paquetes vinculados con testmetest entre el 19 y el 22 de octubre, según su análisis de la campaña. El informe describe paquetes con nombres que terminan en testmetest y menciona las cuentas alexjoipamiba y testnewtestme. Los hallazgos iniciales apuntaban a cuentas de prueba del propio operador.

Ese panorama cambió cuando JFrog examinó los repositorios de GitHub y concluyó que la operación también involucraba cuentas de desarrolladores y organizaciones. La empresa encontró 42 repositorios asociados con 11 propietarios y señaló que los archivos utilizados para esconder las cargas dificultaban localizar los compromisos por medio de las herramientas de búsqueda y las API de GitHub. JFrog publicó sus hallazgos en el informe Beyond testmetest: Native Addon Camouflage and 42 Hijacked GitHub Repos.

Los blobs maliciosos medían entre 12,9 y 13,7 MB, un tamaño que, de acuerdo con los investigadores de JFrog, bastaba para evadir las rutas de búsqueda de código que suelen emplearse para hallar este tipo de actividad. El método podía dejar fuera de los resultados mecanismos de rastreo automatizado y búsquedas dirigidas.

La diferencia entre una prueba controlada y repositorios pertenecientes a terceros cambia la evaluación del riesgo, aunque no demuestra por sí sola que todos los desarrolladores afectados sufrieran una infección posterior. JFrog reportó los repositorios preparados y una posible explotación a escala de Internet, pero el informe no confirmó que los atacantes hubieran conseguido comprometer sistemas a través de cPanel.

Cómo se propagaba el malware

El gusano npm se autorreplica, roba credenciales y modifica repositorios y configuraciones de integración continua para ampliar su alcance. También se propaga a través de paquetes npm, una vía que conecta el código publicado por desarrolladores con los proyectos que incorporan esas dependencias; por eso, una cuenta comprometida puede servir como punto de apoyo para afectar más componentes de software.

Entre los mecanismos observados figuran ganchos de ejecución para asistentes de programación con IA y herramientas de desarrollo como Claude, Gemini, Cursor y VS Code. Los investigadores describieron envoltorios polimórficos de entre 12,9 y 13,7 MB que decodifican una carga oculta destinada a la publicación en CI, es decir, a procesos de integración continua usados para automatizar tareas de desarrollo y despliegue.

El malware también incluye un complemento nativo compilado que descifra y ejecuta una carga separada. Antes de activarse, el cargador busca señales de entornos de análisis, como runners de CI, contenedores, sandboxes y depuradores; cuando detecta esos indicios, se cierra silenciosamente, una conducta que puede reducir las oportunidades de que escáneres automatizados observen su funcionamiento.

Una segunda compilación prescinde del archivo cifrado y sigue otra ruta para obtener el cargador. Según los investigadores, el programa se separa del proceso original y ejecuta un comando codificado de forma fija que descarga ese componente desde un repositorio de la cuenta de GitHub del operador, identificada como CementBeetleSteeple.

Credenciales, tokens y vínculos con otras campañas

La cuenta CementBeetleSteeple alojó 17 repositorios relacionados con la campaña, de acuerdo con el análisis de JFrog. Los investigadores también vincularon esa cuenta con un escáner llamado shellpanel, que Socket había documentado previamente en una operación a gran escala contra repositorios comprometidos y flujos de GitHub Actions.

En esa campaña anterior, shellpanel habría sido utilizado para explotar CVE-2026-41940 y robar credenciales de servidores. Esa vulnerabilidad corresponde a una omisión de autenticación que afecta a cPanel y WHM; CISA la incorporó en abril a su catálogo de vulnerabilidades explotadas conocidas, y cPanel publicó posteriormente versiones corregidas.

JFrog señaló que la infraestructura de comando y control había sido reportada antes por Socket, y que sus propios hallazgos conectaban esa infraestructura con el conjunto de repositorios víctima de testmetest. La relación se apoyaba en artefactos y flujos de trabajo presentes entre los mismos propietarios secuestrados, pero los investigadores no confirmaron un compromiso posterior de cPanel.

El gusano comparte código con Miasma Phantom Gyp, otra operación detectada en junio, y añade un componente de borrado asociado con Mini Shai-Hulud. Ese componente elimina el directorio personal de la víctima cuando esta revoca el token de GitHub robado, una respuesta destructiva que puede convertir el intento de cortar el acceso del atacante en una acción con consecuencias para los archivos locales.

Qué se sabe y qué sigue sin confirmarse

SafeDep identificó 15 paquetes vinculados con testmetest entre el 19 y el 22 de octubre; JFrog, por su parte, informó del hallazgo de repositorios reales vinculados con la campaña. La evaluación inicial de que la actividad se limitaba a pruebas del operador ya no describe todo lo encontrado por la investigación posterior de JFrog.

El alcance documentado debe distinguirse de una confirmación de daños en cada cuenta o proyecto. Los 42 repositorios estaban preparados para la operación, pero la información disponible no establece cuántos usuarios ejecutaron el malware ni si los repositorios llevaron a una intrusión exitosa en sistemas conectados a cPanel o WHM.

La cadena de ataque reúne varios puntos de exposición, desde credenciales robadas y tokens de GitHub hasta paquetes npm, flujos de CI y herramientas de desarrollo. Para los equipos que dependen de esos componentes, el caso muestra por qué la revisión de repositorios y procesos automatizados no puede limitarse a buscar archivos pequeños o firmas conocidas: el operador usó cargas voluminosas y comprobaciones para evitar entornos de análisis.

La alerta central no es que toda integración con asistentes de IA o paquetes npm esté comprometida, algo que la fuente no afirma, sino que el gusano incorporó ganchos dirigidos a herramientas habituales y se ocultó ante ciertos controles automatizados. Por ahora, los investigadores reportaron repositorios preparados y vínculos entre campañas, mientras que el alcance de una posible explotación posterior de cPanel sigue sin confirmarse.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados