Se ha detectado un compromiso significativo de la cadena de suministro que afecta a 84 artefactos de paquetes npm dentro del espacio de nombres de TanStack. Las versiones maliciosas contienen una carga útil diseñada para el robo de credenciales, dirigida específicamente a sistemas de integración continua (CI), como GitHub Actions. Según Socket, el ataque abarca 42 paquetes de TanStack, con dos versiones maliciosas cada uno.

Un compromiso significativo de la cadena de suministro afecta a 84 artefactos de paquetes npm en todo el espacio de nombres de TanStack.

Las versiones maliciosas, publicadas en el registro de npm aproximadamente a las 19:20 y 19:26 UTC, contienen una carga útil sospechosa de robo de credenciales dirigida a sistemas de CI, incluidos GitHub Actions.

Según Socket, el compromiso abarca 42 paquetes de TanStack; dos versiones maliciosas de cada uno, incluyendo librerías ampliamente utilizadas como @tanstack/react-router, que por sí sola recibe más de 12 millones de descargas semanales.

Dado lo intensamente que se consumen estos paquetes, tanto directa como transitivamente en todo el ecosistema de JavaScript, el radio de impacto potencial de este ataque es excepcionalmente grande.

La severidad se califica como ALTA, ya que la carga útil es capaz de exfiltrar credenciales de AWS, GCP, Kubernetes y HashiCorp Vault, tokens de GitHub, claves SSH y contenidos de .npmrc.

Cada versión del paquete comprometido contiene un archivo router_init.js recién inyectado, de aproximadamente 2,3 MB de tamaño.

El archivo emplea una ofuscación agresiva consistente con la herramienta javascript-obfuscator, que incluye rotación de matrices de cadenas, búsquedas de identificadores codificados en hexadecimal como _0x253b, aplanamiento del flujo de control dentro de máquinas de estado while(!![]){} e inyección de código muerto. Este patrón es claramente diferente de los minificadores estándar como Terser o esbuild.

Funcionalmente, la carga útil presenta una demonización basada en procesos spawn con una guarda de reentrada _DAEMONIZED, acceso directo a variables de entorno GITHUB_* (incluyendo tokens de CI e identidad del actor), almacenamiento temporal en directorios con un ciclo completo de lectura/escritura/eliminación, y operaciones de transmisión y despacho remoto diseñadas para exfiltrar los secretos recolectados.

Paquetes npm de TanStack Hackeados

Las versiones maliciosas de los paquetes también introducen un campo optionalDependencies en el package.json que apunta a un hash de commit independiente y sospechoso 79ac49eedf774dd4b0cfa308722bc463cfe5885c en el repositorio de GitHub de TanStack/router.

Ese commit no tiene historial de padres e introduce únicamente un package.json y una carga útil empaquetada tanstack_runner.js.

Fundamentalmente, el package.json registra un hook de ciclo de vida prepare que ejecuta bun run tanstack_runner.js && exit 1, lo que significa que el código arbitrario se ejecuta automáticamente en las estaciones de trabajo de los desarrolladores o en los ejecutores de CI durante la instalación.

El análisis post-mortem de TanStack revela que la cadena de ataque involucró tres técnicas encadenadas de abuso de GitHub Actions: el patrón "Pwn Request" de pull_request_target, el envenenamiento de la caché de GitHub Actions a través del límite de confianza entre el fork y la base, y la extracción de memoria en tiempo de ejecución de un token OIDC desde el proceso del ejecutor de Actions. No se robaron tokens de npm.

En su lugar, los publicadores maliciosos se autenticaron a través de la vinculación de editor confiable OIDC del proyecto después de que el código controlado por el atacante se ejecutara durante la fase de prueba y limpieza del flujo de trabajo, publicando los paquetes directamente en npm.

El commit malicioso fue creado por una cuenta de GitHub voicproducoes, cuyos repositorios públicos incluyen un proyecto llamado "A Mini Shai-Hulud has Appeared", una frase vinculada a campañas recientes de malware de npm a gran escala, lo que sugiere fuertemente el robo de la cuenta.

TanStack ha marcado como obsoletas las 84 versiones afectadas con una advertencia de SEGURIDAD y ha colaborado con la seguridad de npm para eliminar los archivos tar maliciosos a nivel de registro.

Las entradas de la caché de GitHub Actions han sido purgadas, y se han fusionado cambios de endurecimiento para reestructurar el flujo de trabajo vulnerable, añadir guardas del propietario del repositorio y anclar las referencias de acciones de terceros.

Cualquier desarrollador que haya instalado un paquete @tanstack/* entre las 19:20 y las 19:30 UTC debe tratar el host como potencialmente comprometido.

Los pasos inmediatos incluyen: rotar todas las credenciales de la nube, GitHub y SSH; auditar los registros de la nube en busca de actividad sospechosa; y reinstalar desde un archivo de bloqueo (lockfile) limpio anclado a una versión conocida como segura.

Cualquier versión de paquete que contenga "@tanstack/setup": "github:tanstack/router#79ac49ee..." en su campo optionalDependencies debe considerarse maliciosa.