Un paquete malicioso de NPM llamado buildrunner-dev ha sido detectado ocultando malware .NET dentro de imágenes PNG aparentemente inocentes, utilizando esteganografía para eludir herramientas antivirus y desplegar un Troyano de Acceso Remoto (RAT) en sistemas Windows.

Descubierta en febrero de 2026, esta campaña marca un cambio notable en los métodos de ataques a la cadena de suministro, donde el código malicioso real permanece completamente invisible dentro de lo que parece ser un archivo de imagen normal.

El paquete fue creado como un typosquatting de los legítimos buildrunner y build-runner paquetes de NPM, ambos abandonados por sus mantenedores desde hace tiempo.

Un desarrollador que busque el paquete original podría confundir fácilmente esta versión maliciosa con una bifurcación mantenida o una actualización.

Una vez instalado mediante npm install, el hook postinstall activaba automáticamente un archivo llamado init.js, que descargaba silenciosamente un archivo por lotes llamado packageloader.bat desde un repositorio de Codeberg.

El archivo luego se copiaba a sí mismo en la carpeta de Inicio de Windows, garantizando que se ejecutara automáticamente en cada inicio de sesión posterior.

Analistas de Veracode identificaron la cadena completa de ataque solo después de desentrañar siete capas de ofuscación dentro del archivo por lotes, que alcanzaba las 1.653 líneas pero contenía solo alrededor de 21 líneas de instrucciones funcionales reales.

El resto consistía en ruido fabricado: comentarios con palabras dispersas, cadenas base64 falsas y variables basura creadas únicamente para confundir herramientas de análisis estático y revisores humanos.

Antes de activar su carga útil, el malware verificaba los permisos de administrador y se elevaba silenciosamente utilizando la técnica de bypass de UAC mediante fodhelper.exe (MITRE ATT&CK T1548.002), evitando cualquier aviso visible.

Luego iniciaba una sesión oculta de PowerShell a través de conhost.exe, consultaba el sistema en busca de productos antivirus instalados y seguía un camino de infección diferente según el resultado.

La carga útil final era Pulsar, un conocido Troyano de Acceso Remoto de código abierto, cargado en un proceso legítimo de Windows mediante process hollowing.

Oculto en píxeles a simple vista

Dos imágenes PNG alojadas en ImgBB contenían el malware oculto: “6b8owksyv28w.png” (41×41 px, 2,3 KB) albergaba un script de PowerShell de 4.903 bytes para eludir AMSI, mientras que “0zt4quciwxs2.png” (141×141 px, 67 KB) contenía un loader .NET comprimido de 136 KB.

El malware codificaba estas cargas útiles directamente en los valores RGB de cada píxel de la imagen, haciendo que parecieran ruido visual aleatorio para cualquier escáner.

Una tercera imagen esteganográfica en hxxps://i.ibb[.]co/tpyTL2Zg/s9rugowxbq8i.png actuaba como canal de Comando y Control (C2) en vivo, entregando la carga final cifrada del RAT Pulsar bajo demanda.

Los equipos de seguridad deberían auditar los paquetes de NPM antes de instalarlos, desactivar la ejecución automática de scripts postinstall y vigilar de cerca comportamientos inusuales de PowerShell.

Monitorear cambios en el registro relacionados con bypass de UAC y conexiones salientes inesperadas a servicios gratuitos de alojamiento de imágenes puede ayudar a detectar ataques similares antes de que causen daños graves.