Un importante ataque a la cadena de suministro de software ha afectado al ecosistema JavaScript después de que actores de amenazas introdujeran una dependencia maliciosa en el ampliamente utilizado paquete NPM axios. Las versiones comprometidas, axios 1.14.1 y 0.30.4, incorporaban plain-crypto-js y distribuían sigilosamente el backdoor WAVESHAPER.V2 a sistemas Windows, macOS y Linux durante la instalación

Un ataque importante a la cadena de suministro de software ha impactado al ecosistema JavaScript después de que actores maliciosos introdujeran una dependencia maliciosa en el ampliamente utilizado paquete NPM axios.

Las versiones comprometidas, axios 1.14.1 y 0.30.4, incorporaron plain-crypto-js y entregaron sigilosamente el backdoor WAVESHAPER.V2 a sistemas Windows, macOS y Linux durante la instalación.

El incidente es grave porque axios es una de las bibliotecas más comunes para manejar solicitudes HTTP, y las ramas afectadas normalmente tienen un gran volumen de descargas semanales.

Ese alcance significa que una sola actualización de paquete comprometida podría exponer portátiles de desarrolladores, servidores de compilación, pipelines de CI/CD y aplicaciones downstream que confiaban en el flujo oficial del paquete.

Tras revisar la intrusión, los investigadores de Google Cloud detectaron que el atacante probablemente comprometió la cuenta del mantenedor de axios, cambió el correo electrónico asociado y luego insertó plain-crypto-js versión 4.2.1 en el paquete.

La compañía vinculó la actividad con UNC1069, un actor de amenazas norcoreano con motivaciones financieras, basado en coincidencias en la infraestructura y el uso de la familia de malware actualizada WAVESHAPER.V2.

Lo que hace que esta campaña sea especialmente peligrosa es su método de entrega simple. En lugar de esperar a que un usuario abra un archivo o haga clic en un enlace, el código malicioso abusó del proceso normal de instalación de NPM a través de un hook postinstall, permitiendo que el dropper se ejecutara en segundo plano tan pronto como se instalaba el paquete axios contaminado.

Cómo funcionó la infección

La cadena de infección se centró en un dropper JavaScript ofuscado llamado setup.js, que GTIG también rastrea como SILKBELL. Una vez ejecutado, el script verificaba el sistema operativo y entregaba una carga útil diferente para cada plataforma.

En Windows, buscaba powershell.exe, lo copiaba a otra ruta para reducir sospechas, descargaba una etapa de PowerShell con curl y lo ejecutaba con opciones ocultas y de omisión de política de ejecución.

En macOS, usaba bash y curl para colocar un binario Mach-O en /Library/Caches/com.apple.act.mond, cambiaba los permisos del archivo y lo lanzaba a través de zsh. En Linux, descargaba un backdoor en Python a /tmp/ld.py.

El malware también intentó ocultar lo que había hecho. El análisis de Google mostró que setup.js intentaba eliminarse después de soltar la siguiente etapa y restaurar el package.json alterado desde una copia almacenada para dificultar la revisión forense.

La carga útil final, WAVESHAPER.V2, luego se comunicaba con su servidor de comando y control cada 60 segundos a través del puerto 8000 usando JSON codificado en Base64 y un user-agent codificado.

Este backdoor otorga a los atacantes mucho más que un simple acceso remoto. GTIG indicó que el malware puede recopilar detalles del sistema, listar archivos y directorios, ejecutar scripts, inyectar o ejecutar cargas útiles adicionales y esperar más comandos del servidor.

En Windows, la amenaza también puede persistir creando un archivo batch oculto y añadiendo una entrada MicrosoftUpdate bajo la clave de registro Run del usuario actual para que se inicie al iniciar sesión.

Para los defensores, la respuesta debe comenzar con el control de paquetes y la contención del host. Google dijo que las organizaciones deberían evitar las versiones axios 1.14.1 y 0.30.4, fijar proyectos a versiones conocidas como buenas como 1.14.0 o anteriores y 0.30.3 o anteriores, y revisar los archivos de bloqueo (lockfiles) en busca de versiones 4.2.0 o 4.2.1 de plain-crypto-js.

Cualquier sistema que haya instalado la dependencia maliciosa debe tratarse como comprometido, reconstruirse o revertirse a un estado conocido como bueno, seguido de la rotación de credenciales para tokens, claves API y otros secretos que puedan haber estado presentes en el host.

Los equipos también deberían pausar los trabajos de CI/CD afectados, limpiar las cachés de npm, yarn y pnpm, bloquear el tráfico hacia sfrclak[.]com y 142.11.206.73, y vigilar procesos hijos sospechosos generados por aplicaciones Node.js.

La lección más amplia es clara: los paquetes de código abierto confiables pueden convertirse en puntos de intrusión con muy poca advertencia. En este caso, los atacantes utilizaron el comportamiento rutinario de los desarrolladores, la instalación de paquetes, para pasar de una actualización de software a un compromiso multiplataforma completo.

Dado que axios está profundamente integrado en muchos árboles de dependencias, las organizaciones ahora necesitan revisar no solo las instalaciones directas, sino también la exposición heredada en pipelines de compilación, herramientas internas y servicios de producción.

Donde se encuentre plain-crypto-js, los defensores deben asumir que el malware podría haberse extendido más allá de la primera máquina y validar sistemas cercanos en busca de actividad relacionada. La velocidad es crucial, ya que la contención temprana puede limitar el abuso posterior.