Ha surgido una peligrosa campaña de malware en el registro de paquetes NPM, poniendo en riesgo a miles de desarrolladores y usuarios de Windows.

El paquete malicioso, conocido como “duer-js”, fue publicado por un usuario llamado “luizaearlyx” y se disfrazó como una herramienta legítima de visibilidad de consola.

A pesar de tener solo 528 descargas, los expertos en seguridad advierten que sus sofisticados métodos de ataque representan serias amenazas para cualquiera que lo haya instalado.

El malware, que se autodenomina “Bada Stealer”, sigue activo en NPM al momento de esta publicación, poniendo en peligro a desarrolladores desprevenidos que podrían incluirlo en sus proyectos.

Lo que hace que esta amenaza sea particularmente alarmante es su estrategia de ataque en múltiples etapas. Una vez instalado, el malware no solo roba datos y desaparece.

En su lugar, descarga un segundo payload malicioso diseñado específicamente para atacar a usuarios de Discord.

Este componente secundario secuestra la aplicación de escritorio de Discord al inyectarse en el proceso de inicio de la app, permitiéndole monitorear y robar información sensible cada vez que Discord se ejecuta.

El malware puede capturar métodos de pago, tokens de autenticación e incluso eludir las protecciones de autenticación en dos factores.

Analistas de JFrog Security Research identificaron el paquete sofisticado tras realizar un análisis detallado de sus técnicas de ofuscación.

Los investigadores descubrieron que simplemente desinstalar el paquete no sería suficiente para eliminar la infección, ya que el malware establece mecanismos de persistencia que sobreviven a intentos básicos de eliminación.

Cómo el malware roba tus datos sensibles

El Bada Stealer opera mediante un proceso de robo de información cuidadosamente diseñado. Al ejecutarse por primera vez, termina los procesos de navegadores y Telegram en ejecución para acceder a archivos bloqueados.

Luego, el malware escanea sistemáticamente el sistema infectado en busca de datos valiosos en múltiples aplicaciones.

Apunta a tokens de Discord almacenados en bases de datos locales, extrayendo no solo credenciales de autenticación, sino también detalles de suscripción a Nitro, información de facturación, fuentes de pago, listas de amigos y códigos de respaldo de autenticación en dos factores.

La recolección de datos de navegadores es igualmente exhaustiva. El stealer extrae contraseñas guardadas de Chrome, Edge, Brave, Opera y Yandex al descifrarlas usando la API de Protección de Datos de Windows (DPAPI).

Recopila cookies de múltiples directorios de perfiles y roba datos de autocompletado, incluyendo números de tarjetas de crédito, fechas de vencimiento y nombres de titulares antes de que sean cifrados.

Los usuarios de carteras de criptomonedas enfrentan un peligro particular, ya que el malware busca específicamente archivos de la cartera Exodus y varias carteras de extensiones de navegador como MetaMask, BraveWallet y AtomicWallet.

Incluso los usuarios de Steam no están a salvo, ya que el malware comprime y exfiltra archivos de configuración de Steam.

Toda la información robada se transmite a los atacantes a través de un webhook de Discord, con un método de exfiltración de respaldo usando almacenamiento en la nube de Gofile.

Este enfoque de doble canal garantiza que, incluso si falla un método de comunicación, los atacantes aún reciban sus datos robados. El malware crea archivos de texto que contienen contraseñas, detalles de tarjetas de crédito e información de autocompletado antes de subirlos.

Si instalaste el paquete duer-js, se requieren acciones inmediatas más allá de una simple desinstalación. Primero, cierra completamente Discord y desinstálalo a través de Configuración de Windows o el Panel de Control.

Presiona Win+R, escribe “%LOCALAPPDATA%” y elimina todas las carpetas relacionadas con Discord, incluyendo Discord, DiscordPTB y DiscordCanary, para eliminar el código malicioso inyectado.

Vuelve a instalar Discord solo desde el sitio web oficial. Elimina cualquier archivo node.exe de la carpeta de Inicio de Windows ubicada en “%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup”.

Cambia todas las contraseñas almacenadas en tus navegadores, revoca los tokens de Discord, activa la autenticación en dos factores si aún no lo has hecho y revisa tus métodos de pago en Discord para detectar cambios no autorizados.

Verifica tus carteras de criptomonedas y cuentas de Steam en busca de actividad sospechosa. Este proceso de limpieza exhaustivo garantiza la eliminación completa de la infección y protege tus cuentas de futuros compromisos.