Un paquete npm pulido y totalmente funcional ha sido sorprendido robando secretamente tokens de autenticación de OpenAI Codex a los desarrolladores que confiaron en él.

El paquete, llamado codexui-android, se presentaba como una interfaz web remota para OpenAI Codex sin signos obvios de ser malicioso.

Construyó una base de usuarios genuina, acumuló 27,000 descargas semanales y mantuvo un repositorio activo en GitHub, todo mientras extraía silenciosamente credenciales en segundo plano.

La amenaza estuvo activa durante aproximadamente un mes antes de ser detectada. Cada versión publicada contenía código oculto que se ejecutaba en el momento en que se iniciaba la herramienta, sin requerir ninguna interacción del usuario.

La lógica maliciosa se ejecutaba antes que cualquier código de la aplicación, dándole acceso total a los archivos de autenticación almacenados desde el arranque.

Aikido señaló en un informe  que el comportamiento malicioso, tras analizar el paquete npm publicado, contenía código extra que nunca fue enviado al repositorio de GitHub.

Esto lo hacía casi invisible para las auditorías de código estándar. Los desarrolladores que revisaran la fuente no encontrarían nada sospechoso, ya que la lógica de robo existía únicamente dentro del paquete distribuido.

El código de exfiltración apuntaba al archivo auth.json almacenado en el directorio principal de Codex del usuario. Una vez encontrado, el contenido era cifrado con XOR utilizando la clave “anyclaw2026”, codificado en base64 y enviado silenciosamente a un servidor controlado por el atacante.

El endpoint fue nombrado para parecerse a una conexión legítima de reporte de errores de Sentry, lo que hacía que fuera fácil de pasar por alto durante la monitorización rutinaria de la red.

Lo que hizo que esta campaña fuera alarmante fue cuán completo fue el robo. El paquete capturó el token de acceso, el token de refresco, el token de ID y el ID de la cuenta en una sola pasada. Dado que los tokens de refresco no expiran, un atacante que posea uno podría suplantar a la víctima silenciosamente de forma indefinida.

Interfaz remota de Codex de aspecto legítimo

El archivo malicioso en el paquete, chunk-PUR7OUAG.js, se ejecutaba al cargar el módulo sin necesidad de ninguna llamada a función o condición para activarlo.

El autor dejó un comentario en el mapa de fuente indicando que los tokens serían enviados “siempre”, independientemente de cualquier otra funcionalidad. Esto no fue accidental. Fue deliberado, enterrado dentro de un producto que, por lo demás, funcionaba.

El endpoint de exfiltración, sentry.anyclaw[.]store/startlog, fue nombrado para mezclarse con el tráfico legítimo de reportes de errores de Sentry del paquete.

Un desarrollador que observara la actividad de red vería lo que parecía ser telemetría normal saliendo. Esa cobertura fue totalmente diseñada, dando al robo un disfraz que requería una investigación activa para ser descubierto.

El actor de la amenaza invirtió un esfuerzo real en construir un proyecto creíble y útil para usarlo como cobertura, y la legitimidad misma se convirtió en el vector de ataque. A medida que las herramientas de IA se extiendan y los desarrolladores busquen atajos de productividad, se deberían esperar más ataques siguiendo este patrón.

La aplicación de Android extiende el alcance del ataque

El paquete npm no fue el único canal de distribución. El mismo autor publicó una aplicación de Android en Google Play llamada “OpenClaw Codex Claude AI Agent” (ID de paquete: gptos.intelligence.assistant), y esa aplicación descargaba automáticamente la compilación maliciosa de npm cada vez que se iniciaba.

Una segunda aplicación de la Play Store titulada “Codex”, una herramienta de productividad de pago con más de 10,000 instalaciones, utilizaba la misma base de código y cadena de exfiltración bajo un ID de aplicación diferente.

La aplicación de Android parecía limpia en los escaneos previos a la publicación y pesaba solo 26 MB. En la primera ejecución, extraía un entorno Linux en el almacenamiento privado, ejecutaba Node.js dentro de él e instalaba el paquete malicioso de npm sin fijar una versión.

Esto significaba que cualquier dispositivo que ejecutara la aplicación descargaría cualquier compilación maliciosa actual del registro.

Una vez que un usuario iniciaba sesión en Codex dentro de la aplicación, el archivo auth.json se escribía en el almacenamiento, que el paquete luego leería y transmitiría al servidor del atacante.

La investigación de Aikido vinculó al editor con el alias “BrutalStrike”, cuyo juego del mismo nombre tiene más de cinco millones de descargas en la Play Store, lo que plantea serias preocupaciones sobre la escala de la exposición.

Los desarrolladores que hayan utilizado codexui-android o cualquiera de las aplicaciones de Android asociadas deben revocar y rotar inmediatamente sus credenciales de OpenAI Codex.

Se recomienda encarecidamente monitorizar las conexiones salientes a sentry.anyclaw[.]store, ya que es el endpoint de exfiltración confirmado utilizado en toda esta campaña.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.