La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha emitido una alerta crítica sobre un grave compromiso en la cadena de suministro de software. El ataque tiene como objetivo Axios, un cliente HTTP extremadamente popular para JavaScript que los desarrolladores de todo el mundo utilizan en entornos Node.js y navegadores. Los ataques a la cadena de suministro se han convertido en una prioridad máxima para los equipos de seguridad, ya que comprometer un solo componente puede afectar a miles de aplicaciones y sistemas. 

La Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA) ha emitido una alerta crítica sobre un grave compromiso en la cadena de suministro de software.

El ataque tiene como objetivo Axios, un cliente HTTP extremadamente popular para JavaScript que los desarrolladores de todo el mundo utilizan en entornos Node.js y navegadores.

Los ataques a la cadena de suministro se han convertido en una prioridad máxima para los equipos de seguridad, ya que comprometer un solo paquete popular puede afectar al instante a miles de organizaciones aguas abajo.

Según el aviso del 20 de abril de 2026, actores maliciosos lograron comprometer el ecosistema del gestor de paquetes npm de Axios el 31 de marzo de 2026.

Los atacantes inyectaron una dependencia maliciosa en actualizaciones específicas del software.

Despliegue de un Troyano de Acceso Remoto

Cuando los desarrolladores instalan estas actualizaciones afectadas, la dependencia descarga silenciosamente cargas útiles de múltiples etapas desde la infraestructura de los atacantes, desplegando finalmente un troyano de acceso remoto (RAT) en la máquina de la víctima.

Una vez instalado, este troyano de acceso remoto otorga a los ciberdelincuentes acceso de puerta trasera a entornos de desarrollo sensibles.

Esto permite a los actores maliciosos robar código fuente, manipular aplicaciones, exfiltrar datos o adentrarse más en las redes corporativas internas.

Investigadores de seguridad de Microsoft y GitHub han estado siguiendo de cerca el incidente, señalando que el código malicioso apunta específicamente a las versiones 1.14.1 y 0.30.4 de Axios.

Los atacantes utilizaron una dependencia inyectada, plain-crypto-js@4.2.1, para ejecutar estas descargas maliciosas.

CISA insta encarecidamente a todas las organizaciones a revisar sus repositorios de código, máquinas de desarrollo y pipelines de CI/CD de inmediato.

Si tu equipo ha ejecutado npm install o npm update con las versiones comprometidas, debes tomar las siguientes acciones para asegurar tu entorno:

• Revertir tu entorno de desarrollo a un estado seguro conocido si se descubren dependencias comprometidas.
• Degradar tus instalaciones de Axios a las versiones seguras verificadas: axios@1.14.0 o axios@0.30.3.
• Localizar y eliminar manualmente el directorio node_modules/plain-crypto-js/ de todos los proyectos activos.
• Rotar y revocar todas las credenciales expuestas, incluyendo claves en la nube, tokens de npm, claves SSH y secretos de CI/CD.
• Bloquear todas las conexiones de red salientes al dominio de mando y control (C2) de los atacantes en Sfrclak[.]com.
• Monitorear los endpoints en busca de procesos hijos inesperados y comportamientos de red anómalos, especialmente durante instalaciones rutinarias de npm.

Estrategias de Prevención a Largo Plazo

Para prevenir compromisos futuros en la cadena de suministro, CISA y firmas de seguridad independientes como Socket y StepSecurity recomiendan reforzar la higiene de seguridad en npm.

Las organizaciones deben establecer una línea base de comportamiento de ejecución normal para todas las herramientas que utilicen Axios.

Los desarrolladores y equipos de seguridad deben implementar las siguientes medidas proactivas:

• Exigir autenticación multifactor (MFA) resistente a phishing en todas las cuentas de desarrolladores y plataformas críticas de despliegue.
• Modificar el archivo de configuración .npmrc para incluir ignore-scripts=true, lo que evita que scripts potencialmente maliciosos se ejecuten automáticamente al instalar un paquete.
• Añadir min-release-age=7 al archivo .npmrc para garantizar que solo se permitan instalar paquetes que hayan sido revisados públicamente durante al menos siete días.
• Configurar alertas automatizadas para detectar cuando las dependencias se comporten de manera inusual, como construir contenedores de repente, habilitar shells remotos o ejecutar comandos del sistema inesperados.

Se alienta a las organizaciones a realizar una caza continua de amenazas utilizando herramientas de detección y respuesta en endpoints (EDR) para asegurarse de que no queden indicadores activos de compromiso en sus redes.