Los desarrolladores de código abierto se enfrentan a una amenaza creciente y sofisticada, una que no depende de exploits complejos ni de vulnerabilidades ocultas, sino de algo mucho más simple: la confianza.

Una campaña de ingeniería social está atacando activamente a desarrolladores a través de Slack, donde un atacante se hace pasar por un líder respetado de la comunidad de la Linux Foundation para engañar a las víctimas y hacer que descarguen malware.

El ataque se dio a conocer públicamente el 7 de abril de 2026, a través de un aviso de alta gravedad publicado en la lista de correo OpenSSF Siren por Christopher "CRob" Robinson, director de Tecnología y arquitecto jefe de Seguridad de la Open Source Security Foundation (OpenSSF).

La campaña se centró en el espacio de trabajo de Slack del TODO Group —un grupo de trabajo de la Linux Foundation para profesionales de oficinas de programas de código abierto (OSPO)— así como en comunidades relacionadas de código abierto.

Los atacantes crearon cuidadosamente una identidad falsa de un líder conocido de la Linux Foundation y usaron esa persona para enviar mensajes directos con un enlace de phishing alojado en Google Sites, una plataforma que muchos desarrolladores reconocen y consideran segura.

El enlace estaba diseñado deliberadamente para parecer legítimo, lo que dificultaba incluso a desarrolladores con conciencia de seguridad detectar que algo andaba mal.

Analistas de Socket.dev y un ingeniero de Socket estuvieron entre los primeros en examinar el ataque y documentar su comportamiento técnico.

Su investigación confirmó que no se trataba de un intento de phishing básico, sino de una operación de múltiples etapas diseñada para explotar la profunda confianza que existe naturalmente dentro de las comunidades de código abierto.

El discurso del atacante estaba cuidadosamente elaborado. Fingiendo ser el líder de la Linux Foundation, el actor de la amenaza describió una herramienta de IA exclusiva y privada que podía analizar la dinámica de proyectos de código abierto y predecir qué contribuciones de código serían fusionadas antes de que cualquier revisor las viera.

El mensaje enfatizaba la exclusividad, diciendo a los objetivos que el equipo estaba "compartiendo esto solo con unas pocas personas por ahora". Junto con el enlace de phishing, el atacante incluyó una dirección de correo electrónico falsa y una clave de acceso para hacer que el flujo del espacio de trabajo falso pareciera real.

Una vez que la víctima hacía clic en el enlace, un flujo de autenticación fraudulento recopilaba su dirección de correo electrónico y un código de verificación.

Después de robar las credenciales, el sitio de phishing dirigía a las víctimas a instalar lo que llamaba un "certificado de Google", que en realidad era un certificado raíz malicioso.

Una vez instalado, este permitía al atacante interceptar silenciosamente el tráfico web cifrado que pasaba entre el dispositivo de la víctima y cualquier sitio web que visitara. Esto preparó el escenario para la parte más dañina del ataque, que luego divergía en diferentes caminos dependiendo del sistema operativo de la víctima.

Dentro del mecanismo de infección

El comportamiento específico de esta plataforma del ataque revela lo precisamente que fue diseñado. En macOS, una vez instalado el certificado raíz malicioso, un script descargaba y ejecutaba automáticamente un binario llamado gapi desde una dirección IP remota (2.26.97.61).

Ejecutar este binario le da al atacante control potencial total sobre el dispositivo comprometido, incluyendo la capacidad de acceder a archivos, robar más credenciales y emitir comandos adicionales de forma remota.

En Windows, se pedía a las víctimas que instalaran el certificado malicioso a través de un diálogo de confianza del navegador. Una vez aceptado, habilitaba la misma interceptación de tráfico cifrado.

En ambas plataformas, el ataque completo seguía cuatro etapas claras: suplantación de identidad, phishing, recolección de credenciales y entrega de malware, cada paso construyendo sobre el anterior para adentrarse más en el entorno de la víctima.

El aviso de OpenSSF incluye varias recomendaciones importantes para los desarrolladores activos en comunidades de Slack de código abierto.

Siempre verifica las identidades fuera de banda: nunca confíes en un mensaje de Slack basándote solo en un nombre de visualización o foto de perfil, y confirma solicitudes inusuales a través de un canal de comunicación separado y conocido antes de tomar cualquier acción.

Nunca instales un certificado raíz desde un enlace enviado a través de un mensaje de chat o correo electrónico; los servicios legítimos simplemente no solicitan esto a los usuarios.

Trata cualquier solicitud de este tipo como sospechosa a menos que el equipo de TI de tu organización lo haya indicado explícitamente. Finalmente, activa la autenticación multifactor (MFA) en todas las cuentas de desarrollador y colaboración.

MFA no evitará la suplantación de identidad, pero limita significativamente el daño si las credenciales son robadas.

Indicadores de Compromiso (IoCs):

• URL de phishing: https://sites.google.com/view/workspace-business/join
• Dirección de correo electrónico falsa: cra@nmail.biz
• Clave de acceso: CDRX-NM71E8T
• IP remota de C2: 2.26.97.61
• Binario malicioso para macOS: gapi