Los atacantes han logrado infiltrarse en el ecosistema de nodos comunitarios de n8n utilizando un paquete npm malicioso disfrazado de una herramienta legítima de integración con Google Ads.

El ataque revela una vulnerabilidad crítica en cómo las plataformas de automatización de flujos de trabajo gestionan las integraciones de terceros y las credenciales de usuario.

El paquete malicioso, llamado n8n-nodes-hfgjf-irtuinvcm-lasdqewriit, engañó a los desarrolladores para que introdujeran sus credenciales de OAuth de Google Ads a través de un formulario de credenciales aparentemente auténtico.

Por qué n8n es un objetivo

Una vez enviadas, el código malicioso robó estas credenciales de forma silenciosa y las envió a un servidor controlado por los atacantes durante la ejecución del flujo de trabajo.

Este ataque a la cadena de suministro representa una nueva escalada en las amenazas de ciberseguridad, explotando la confianza que los desarrolladores depositan en las integraciones mantenidas por la comunidad dentro de las plataformas de automatización.

n8n actúa como un almacén centralizado de credenciales, almacenando tokens OAuth y claves API para docenas de servicios integrados, como Google Ads, Stripe y Salesforce, en un solo lugar.

Esto hace que comprometer incluso un solo nodo comunitario sea increíblemente valioso para los atacantes, ya que les da acceso a todo el ecosistema digital conectado de una organización.

La arquitectura de la plataforma n8n la hace particularmente vulnerable. Los nodos comunitarios se ejecutan con acceso completo al sistema operativo, pueden leer variables de entorno y acceder a sistemas de archivos.

Pueden realizar solicitudes de red salientes, heredando esencialmente el mismo nivel de confianza que la propia plataforma principal.

El alcance del problema

Los investigadores de Endorlabs identificaron al menos ocho paquetes npm maliciosos dirigidos al ecosistema de n8n. El paquete malicioso principal alcanzó más de 3.400 descargas semanales antes de ser eliminado.

Varios paquetes han sido eliminados del registro de npm, rastreados a través de avisos de seguridad como GHSA-77g5-qpc3-x24r.

EndorLabs insta a las organizaciones a priorizar los nodos oficiales de n8n sobre las alternativas comunitarias y a auditar cuidadosamente los paquetes antes de su instalación.

Revisa los detalles de los paquetes en busca de señales de advertencia, como descripciones pobres, nombres extraños y recuentos de descargas muy bajos.

Monitorizar el tráfico de red saliente de las instancias de n8n y utilizar cuentas de servicio aisladas con privilegios mínimos también puede reducir significativamente el riesgo de exposición.

Este ataque refleja compromisos anteriores en la cadena de suministro dirigidos a flujos de trabajo de GitHub Actions, demostrando que los actores de amenazas adaptan continuamente sus tácticas para explotar plataformas de automatización emergentes.

A medida que la automatización de flujos de trabajo se vuelve cada vez más central en las operaciones empresariales, las organizaciones deben equilibrar la comodidad frente a las implicaciones de seguridad de las integraciones proporcionadas por la comunidad.