Investigadores de CrowdStrike Counter Adversary Operations identificaron esta actividad y la atribuyeron con confianza moderada a un grupo de amenazas norcoreano rastreado como STARDUST CHOLLIMA. Los analistas señalaron que los atacantes desplegaron variantes actualizadas de una familia de malware llamada ZshBucket —una herramienta vinculada exclusivamente a STARDUST CHOLLIMA— dirigida a sistemas Linux, macOS y Windows. Aunque se observaron solapamientos de infraestructura con otro grupo norcoreano llamado FAMOUS CHOLLIMA, la sofisticación técnica de las variantes de ZshBucket en este ataque apuntó más fuertemente a STARDUST CHOLLIMA como el actor principal. El impacto más amplio de este ataque es difícil de exagerar. STARDUST CHOLLIMA tiene un historial bien documentado de atacar a titulares de criptomonedas y empresas fintech a través de compromisos en la cadena de suministro que involucran repositorios npm y PyPI. Dado que Axios está integrado en innumerables aplicaciones web y flujos de trabajo de desarrolladores en todo el mundo, la capacidad del grupo para alcanzar objetivos financieros a gran escala a través de un solo paquete comprometido es una preocupación grave. CrowdStrike evalúa que el beneficio financiero —específicamente la generación de divisas— fue la motivación más probable, consistente con el patrón operativo de larga data del grupo. Desde finales de 2025, STARDUST CHOLLIMA ha aumentado significativamente su ritmo operativo, y este incidente refleja la intención del grupo de escalar aún más. El número exacto de usuarios afectados sigue sin estar claro, pero el enorme volumen de descargas semanales del paquete Axios indica que este compromiso en la cadena de suministro podría tener consecuencias de gran alcance en la comunidad global de desarrollo de software.

Las capacidades ampliadas de comandos de ZshBucket

Lo que hace que este ataque sea particularmente alarmante es cuánto más capaz se ha vuelto la nueva versión de ZshBucket. En campañas anteriores, ZshBucket solo podía descargar y ejecutar archivos —una función relativamente sencilla. En este incidente, el malware recibió una actualización significativa que otorgó a los atacantes un control mucho mayor sobre los sistemas comprometidos. Las variantes actualizadas de ZshBucket ahora utilizan un protocolo de mensajería común basado en JSON que funciona de manera consistente en sistemas Linux, macOS y Windows. Esta estandarización permite a los operadores gestionar todas las máquinas infectadas a través de un único canal de comunicación unificado. El malware se conecta a un servidor de comando y control (C2) en el dominio sfrclak[.]com, alojado en la dirección IP 142.11.206[.]73. Los operadores pueden inyectar cargas binarias en las máquinas de las víctimas, ejecutar scripts y comandos arbitrarios, enumerar el sistema de archivos y terminar de forma remota el implante de malware cuando sea necesario. La infraestructura C2 también revela vínculos más profundos con las operaciones cibernéticas norcoreanas. El dominio sfrclak[.]com comparte características identificadoras de servidor con dos direcciones IP adicionales: 23.254.203[.]244, una dirección conocida de STARDUST CHOLLIMA activa desde diciembre de 2025, y 23.254.167[.]216, utilizada previamente como servidor C2 para el malware InvisibleFerret de FAMOUS CHOLLIMA en mayo de 2025. El dominio está registrado a través de Hostwinds, consistente con patrones de infraestructura previos de STARDUST CHOLLIMA. Los desarrolladores que utilizan el paquete npm de Axios deben auditar inmediatamente sus entornos en busca de signos de compromiso. Se recomienda a las organizaciones verificar la integridad de los paquetes antes de su implementación, habilitar herramientas de análisis de composición de software dentro de las canalizaciones CI/CD, rotar cualquier credencial vinculada a cuentas de mantenedores de npm y monitorear las conexiones salientes en busca de tráfico inusual hacia dominios desconocidos. Los equipos de seguridad deben tratar cualquier comunicación con sfrclak[.]com o sus direcciones IP asociadas como un fuerte indicador de compromiso e investigar esos sistemas sin demora.

Fuentes:
https://cybersecuritynews.com/north-korea-linked-hackers-compromise-axios-npm-package/