Los investigadores de seguridad de JFrog, Guy Korolevski y Meitar Palas, descubrieron un sofisticado ataque a la cadena de suministro en el ecosistema npm el 12 de marzo de 2026, en el que actores de amenazas disfrazaron un malware robador de información como un ejecutor de scripts legítimo de Roblox. La campaña, autodenominada Cipher stealer, utilizó dos paquetes maliciosos: bluelite-bot-manager y test-logsmodule-v-zisko, para distribuir un ejecutable de Windows capaz de recolectar credenciales de Discord

Los investigadores de seguridad de JFrog Guy Korolevski y Meitar Palas descubrieron un ataque sofisticado a la cadena de suministro en el ecosistema npm el 12 de marzo de 2026, en el que actores maliciosos disfrazaron un malware ladrón de información como un ejecutor de scripts legítimo de Roblox.

La campaña, autodenominada Cipher stealer, utilizó dos paquetes maliciosos bluelite-bot-manager y test-logsmodule-v-zisko para distribuir un ejecutable de Windows capaz de robar credenciales de Discord, datos de navegadores y archivos de carteras de criptomonedas de sistemas infectados.

Cada paquete malicioso incluía un script de preinstalación que descargaba y ejecutaba silenciosamente un binario de Windows llamado solara 1.0.0.exe o solara 1.0.1.exe desde una URL alojada en Dropbox, sin requerir interacción por parte de la víctima.

El ejecutable funcionaba como un dropper, ocultando un archivo de 321 MB que contenía JavaScript ofuscado, un entorno completo de Node.js y un script de Python integrado, todos los componentes necesarios para ejecutar el stealer sin necesidad de configuración por parte del atacante.

A pesar de la sofisticación de su carga útil, el ejecutable fue detectado por solo un motor antivirus en VirusTotal, ya que los escáneres estáticos y heurísticos analizaron la capa externa limpia del dropper en lugar de su contenido oculto de JavaScript.

Robo e inyección en Discord

Una vez activo, Cipher ataca agresivamente Discord robando primero tokens de sesión almacenados en bases de datos LevelDB de todos los clientes de Discord instalados y navegadores basados en Chromium, luego validando cada token contra la API en vivo de Discord.

En sistemas con BetterDiscord, el malware parchea el archivo central index.js de la aplicación para neutralizar su protección integrada contra webhooks, asegurando que todos los datos robados puedan enviarse al webhook de Discord del atacante sin interferencias.

En el cliente oficial de Discord para escritorio, una carga útil secundaria de JavaScript se descarga desde un repositorio activo de GitHub e inyecta directamente en la aplicación, forzando al usuario a cerrar sesión y capturando su correo electrónico, contraseña, códigos de autenticación en dos factores e incluso detalles de tarjetas de pago al volver a iniciar sesión.

El script inyectado también modifica los archivos de inicio de Discord para persistir en cada reinicio, y es capaz, aunque no se activó en esta campaña, de engañar a usuarios en 13 idiomas para que cambien voluntariamente la dirección de correo electrónico de su cuenta, según informaron los investigadores de seguridad de JFrog.

Exfiltración de navegadores y carteras

El robo de credenciales del navegador opera en dos frentes simultáneamente. El componente de JavaScript utiliza bibliotecas de descifrado DPAPI de Windows para extraer directamente claves maestras de cifrado de los archivos Local State del navegador, luego consulta la base de datos SQLite Login Data para robar contraseñas guardadas de Chrome, Brave, Edge, Opera y Yandex.

Un script paralelo de Python, descargado e instalado silenciosamente si Python no está presente, cubre una gama aún más amplia de navegadores, incluyendo Firefox, Vivaldi, CocCoc y QQ Browser, extrayendo cookies, tarjetas de crédito, datos de autocompletado, marcadores e historial completo de navegación.

Mientras tanto, el malware escanea el sistema en busca de directorios de carteras de criptomonedas vinculados a Bitcoin, Ethereum, Exodus, Electrum, Atomic Wallet y varios otros, copiando su contenido a una carpeta temporal disfrazada de servicio del sistema de Windows antes de intentar descifrar el archivo de semilla de la cartera Exodus.

Todos los datos robados se comprimen en un archivo ZIP y se suben a Gofile o a un servidor de comando y control de respaldo, con un informe resumido —que incluye el recuento de contraseñas, cookies, nombres de carteras y enlaces de descarga de archivos— enviado directamente al webhook de Discord del atacante.

Ambos paquetes npm han sido eliminados y los enlaces de Dropbox ya no están activos, aunque el repositorio secundario de GitHub que aloja el script de inyección seguía en línea en el momento del descubrimiento.

Los usuarios potencialmente expuestos a estos paquetes deben desinstalarlos inmediatamente, reinstalar la aplicación de escritorio de Discord, rotar todas las contraseñas y tokens de sesión, y auditar sus carteras de criptomonedas en busca de accesos no autorizados.