Se ha detectado un nuevo ataque a la cadena de suministro en node-ipc, una biblioteca de comunicación entre procesos de JavaScript muy utilizada con más de 822,000 descargas semanales. Socket y Stepsecurity confirmaron que tres versiones recientes (node-ipc@9.1.6, node-ipc@9.2.3 y otras) contienen cargas útiles maliciosas, específicamente stealers y backdoors ofuscados. Este es el segundo compromiso grave de este paquete desde 2022.

Una biblioteca de comunicación entre procesos de JavaScript ampliamente utilizada ha sido convertida en arma nuevamente. Socket y Stepsecurity han confirmado que tres versiones recién publicadas de node-ipc, un paquete con más de 822,000 descargas semanales, contienen cargas útiles de robo de datos (stealer) y puertas traseras (backdoor) ofuscadas, lo que marca el segundo compromiso importante de la cadena de suministro de este paquete desde 2022.

Las versiones afectadas son node-ipc@9.1.6, node-ipc@9.2.3 y node-ipc@12.0.1.

El paquete npm node-ipc ha sido hackeado

El investigador de seguridad Ian Ahl (@TekDefense), CTO de Permiso, identificó que el vector de ataque probable fue la toma de control de una cuenta de mantenedor inactiva.

Parece una toma de control de dominio para conseguir este: El dominio expiró el 10-01-2025, el atacante lo volvió a registrar el 07-05-2026 a través de NameCheap.

10-01-2001 atlantis-software[.]net registrado (legítimo, OVH)
10-01-2025 El dominio expira (no renovado)
07-05-2026 El atacante vuelve a registrar el dominio vía…

— 1aN0rmus (@TekDefense) May 14, 2026

La cuenta “atiertant”, uno de los doce mantenedores de npm listados, había estado inactiva durante años.

Según la seguridad de Socket, parece que los atacantes adquirieron el dominio del correo de recuperación de la cuenta, atlantis-software[.]net, después de que expirara, lo que les permitió activar un restablecimiento de contraseña estándar de npm y obtener silenciosamente derechos de publicación sin tocar nunca la infraestructura del mantenedor original.

La carga útil maliciosa está incrustada exclusivamente en node-ipc.cjs, el punto de entrada CommonJS, añadida como una única IIFE ofuscada.

El módulo ESM permanece limpio. Esto significa que si tú eres un desarrollador que utiliza require("node-ipc") estás en riesgo, mientras que los consumidores de ESM puro podrían no verse afectados directamente.

Una vez activada mediante setImmediate() al cargar el módulo, la carga útil crea un proceso hijo independiente utilizando la bandera de variable de entorno __ntw=1, y luego procede a:

• Identificar el host (fingerprint) utilizando metadatos del SO, incluyendo plataforma, arquitectura, nombre del host y la salida de uname -a
• Recopilar credenciales y archivos de configuración de más de 100 patrones de objetivos, que cubren AWS, Azure, GCP, Kubernetes, Docker, claves SSH, tokens de npm, credenciales de GitHub/GitLab, secretos de Terraform, archivos .env, historiales de shell y bases de datos del Llavero de macOS
• Archivar los datos recopilados en un archivo tar.gz escrito en <tmp>/nt-<pid>/<machineHex>.tar.gz
• Exfiltrar mediante consultas DNS TXT —no HTTP— utilizando un dominio falso similar a Azure, sh[.]azurestaticprovider[.]net, enrutando los datos a través de la zona bt[.]node[.]js con prefijos de consulta xh, xd y xf

Un archivo comprimido de 500 KiB puede generar aproximadamente 29,400 consultas DNS TXT, lo que hace que las ráfagas de consultas TXT de alto volumen sean una señal de detección fuerte.

Notablemente, cada archivo en los tarballs maliciosos lleva una marca de tiempo forense del 26 de octubre de 1985, un artefacto deliberado útil para identificar copias almacenadas en caché o espejadas.

Indicadores de Compromiso (IOCs)

Tipo	Indicador
Paquetes maliciosos	node-ipc@9.1.6, node-ipc@9.2.3, node-ipc@12.0.1
node-ipc.cjs SHA-256	96097e0612d9575cb133021017fb1a5c68a03b60f9f3d24ebdc0e628d9034144
node-ipc-9.1.6.tgz SHA-256	449e4265979b5fdb2d3446c021af437e815debd66de7da2fe54f1ad93cbcc75e
node-ipc-9.2.3.tgz SHA-256	c2f4dc64aec4631540a568e88932b61daebbfb7e8281b812fa01b7215f9be9ea
node-ipc-12.0.1.tar.gz SHA-256	78a82d93b4f580835f5823b85a3d9ee1f03a15ee6f0e01b4eac86252a7002981
Dominio de arranque C2	sh[.]azurestaticprovider[.]net
IP del C2	37.16[.]75.69
Zona DNS de exfiltración	bt[.]node[.]js
Variable de entorno de ejecución	__ntw=1
Patrón de archivo temporal	<tmp>/nt-<pid>/<machineHex>.tar.gz

Si eres desarrollador, debes eliminar inmediatamente las tres versiones afectadas y auditar package-lock.json, yarn.lock y las cachés locales de npm.

Cualquier variable de entorno, clave SSH, credencial de nube o token de API presente en un sistema que haya cargado el punto de entrada CommonJS debe considerarse totalmente comprometido y rotarse sin demora.

Los equipos de seguridad deben buscar ráfagas de consultas DNS TXT hacia bt[.]node[.]js y bloquear el dominio del resolutor de arranque.

Fuentes:
https://cybersecuritynews.com/node-ipc-npm-package-compromised/