Investigadores de Socket.dev identificaron el ataque casi en tiempo real, alertando sobre la ola de publicaciones maliciosas y clasificando las versiones afectadas como malware conocido.

Socket.dev afirmó en un informe compartido que su revisión interna identificó 639 versiones de paquetes comprometidas en 323 paquetes únicos, en lo que el equipo denominó la "ola Mini Shai-Hulud del 19/5". La mayoría de las detecciones ocurrieron entre 6 y 12 minutos después de la publicación.

A lo largo de la campaña más amplia de Mini Shai-Hulud, Socket ha rastreado 1.055 versiones en 502 paquetes únicos que abarcan los registros de npm, PyPI y Composer.

El ecosistema npm soporta la parte abrumadora, con 1.048 versiones comprometidas en 498 paquetes npm únicos. La escala de la campaña apunta a un actor de amenazas coordinado y con abundantes recursos que opera en múltiples ecosistemas de código abierto.

El radio de impacto aquí es significativo. La cuenta de publicación está vinculada a paquetes utilizados en visualización de datos, gráficos, mapas y desarrollo de componentes de React.

Incluso si solo una fracción de esos paquetes recibió una actualización maliciosa, las organizaciones que descargan automáticamente nuevas versiones de dependencias enfrentan una exposición real en cascada.

Comprometen los paquetes de @antv

El código inyectado sigue un patrón vinculado a la familia de malware Mini Shai-Hulud. Cada paquete comprometido contiene un archivo index.js en la raíz que modifica el package.json para ejecutar la carga útil al momento de la instalación a través de un gancho "preinstall" ejecutándose en Bun.

La carga útil está fuertemente ofuscada mediante una tabla de búsqueda de matrices de cadenas extensa y un descifrador personalizado para ocultar cadenas sensibles de una inspección básica.

Una vez activado, el malware recolecta y transmite datos robados a través de un canal cifrado. Serializa la información recolectada, la comprime con gzip, la cifra con AES-256-GCM y envuelve la clave con RSA-OAEP antes de enviar todo al servidor de comando y control.

Este cifrado por capas hace que sea muy difícil para los defensores recuperar el contenido robado a partir de los registros de tráfico de red.

La carga útil busca secretos de alto valor en entornos de desarrolladores y CI/CD. Apunta a tokens de GitHub, credenciales de AWS, material de cuentas de servicio de Kubernetes, claves privadas SSH, tokens de Vault, archivos de autenticación de Docker y cadenas de conexión de bases de datos.

También contiene lógica específica para plataformas como GitHub Actions, GitLab CI, Jenkins, CircleCI, AWS CodeBuild y varias otras.

GitHub como canal de exfiltración de respaldo

Si el malware obtiene un token de GitHub utilizable, cambia a un método secundario. Crea un nuevo repositorio bajo la cuenta de la víctima y realiza commits de los datos robados en archivos siguiendo una ruta de nomenclatura estructurada.

Esta técnica abusa de GitHub como infraestructura confiable, haciendo que la exfiltración sea mucho más difícil de detectar y bloquear. Las búsquedas públicas en GitHub para un marcador de campaña invertido revelan actualmente aproximadamente 1.900 repositorios creados por el actor de amenazas.

Estos utilizan nombres inspirados en Dune, como "sayyadina-stillsuit-852" y "fremen-fedaykin-225", y sus descripciones llevan el mismo marcador invertido, confirmando que pertenecen a la red de exfiltración de la campaña.

Más allá de robar secretos, la carga útil también puede propagarse a sí misma. Valida credenciales de npm robadas, enumera los paquetes que la cuenta comprometida puede publicar, inyecta código malicioso y vuelve a publicar los paquetes modificados.

Este comportamiento similar a un gusano permite que el ataque salte entre cuentas de mantenedores sin mayor esfuerzo por parte del atacante.

Tú y tu equipo de seguridad deberían auditar cualquier actualización reciente de los espacios de nombres de @antv y npm asociados de inmediato.

Las organizaciones deben rotar cualquier secreto o credencial que haya podido pasar por entornos donde se instalaron recientemente estos paquetes. También se recomienda encarecidamente revisar los registros de la canalización CI/CD en busca de actividad inesperada de creación de repositorios de GitHub.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están deliberadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.