Una campaña de ingeniería social altamente coordinada está atacando activamente a los principales desarrolladores de código abierto en el ecosistema de Node.js y npm. Tras el reciente compromiso del popular paquete Axios, que registra más de 100 millones de descargas semanales, varios mantenedores de software de alto impacto han reportado ataques similares.

Una campaña de ingeniería social altamente coordinada está atacando activamente a los principales desarrolladores de código abierto en el ecosistema Node.js y npm.

Tras el reciente compromiso del popular paquete Axios, que registra más de 100 millones de descargas semanales, varios mantenedores de software de alto impacto han reportado ataques similares.

Los investigadores de seguridad creen que esto representa un cambio estratégico por parte de actores de amenazas avanzados que buscan envenenar en secreto la cadena de suministro de software global.

Los atacantes están persiguiendo a desarrolladores que mantienen herramientas fundamentales de JavaScript. Entre los objetivos se incluyen los creadores y mantenedores de paquetes ampliamente utilizados como WebTorrent, Lodash, Fastify y dotenv. Juntos, estas herramientas esenciales son descargadas miles de millones de veces cada mes por empresas de todo el mundo.

Ingenieros de Socket, incluyendo a su CEO Feross Aboukhadijeh, y Matteo Collina, presidente del Comité Directivo Técnico de Node.js, confirmaron que fueron blanco reciente de estos ataques. Collina señaló que los atacantes se hicieron pasar por una empresa legítima durante su acercamiento.

Aboukhadijeh afirmó que estos ataques altamente sofisticados contra mantenedores individuales se están convirtiendo en la nueva normalidad y están acelerándose rápidamente en todo el ecosistema.

Un manual paciente y engañoso

A diferencia de los correos de phishing estándar, fáciles de detectar, esta operación tarda semanas en ejecutarse. La investigadora de seguridad Tay vincula estos ataques con un grupo de amenazas norcoreano conocido como UNC1069.

Según su análisis, los hackers son extremadamente pacientes y deliberados en su enfoque hacia los desarrolladores de código abierto.

Se ponen en contacto a través de plataformas profesionales como LinkedIn o Slack, usando identidades falsas de empresas suplantadas como "Openfort". Desarrolladores como Pelle Wessman y Jean Burellier reportaron haber sido invitados a canales privados de Slack y presionados para unirse a entrevistas en podcasts.

Los atacantes construyen confianza con el tiempo, programando e incluso reprogramando llamadas para parecer completamente normales y desarmar cualquier sospecha.

La trampa se activa finalmente durante la videollamada programada. Los hackers envían un enlace a una plataforma de reuniones falsa diseñada para parecerse exactamente a Microsoft Teams o Streamyard.

Cuando la víctima se une, el sitio simula un fallo de audio. Para "solucionar" el problema, el sitio insta al desarrollador a descargar una aplicación o ejecutar un comando simple en su terminal. Esta acción desencadena el ataque real.

Eludiendo la seguridad moderna

Si el desarrollador cae en el engaño, la descarga instala instantáneamente un troyano de acceso remoto (RAT) oculto. Este peligroso malware recopila silenciosamente datos sensibles del ordenador de la víctima.

Roba cookies del navegador, credenciales en la nube, cadenas de contraseñas y tokens de desarrollador activos, luego contacta a los hackers cada sesenta segundos para recibir nuevas instrucciones.

Como el malware roba datos de sesión activos, la autenticación de dos factores estándar no ofrece una defensa real. Los atacantes eluden por completo las pantallas de inicio de sesión.

Esto les da control inmediato y total para publicar código directamente en el registro de npm. Ni siquiera las mejores prácticas de publicación pueden detener a una máquina comprometida.

Históricamente, este grupo de hackers específico atacaba a fundadores de criptomonedas para robar dinero digital. Ahora, han cambiado su enfoque hacia el software de código abierto.

En lugar de hackear objetivos uno por uno, comprometer un solo paquete popular de npm les permite llegar a millones de usuarios a la vez a través de actualizaciones automáticas.

Los expertos en seguridad están instando a la comunidad de código abierto a mantenerse alerta y apoyarse mutuamente sin culpar a las víctimas.

Estos ataques son altamente convincentes, y cualquiera podría ser engañado en un día ajetreado. A medida que estas amenazas avanzadas crecen, la seguridad de las aplicaciones modernas depende en gran medida de proteger a los desarrolladores que construyen nuestro código fundamental.