Investigadores detectaron paquetes maliciosos de npm y Go que utilizan tareas automatizadas de VS Code y archivos de fuentes falsos para infectar sistemas. Esta campaña, atribuida a Corea del Norte, despliega un backdoor y un programa en Python diseñado para robar credenciales, billeteras de criptomonedas y datos de desarrolladores. Se recomienda eliminar los paquetes afectados y cambiar todas las contraseñas y tokens de seguridad inmediatamente.

Investigadores de ciberseguridad han descubierto dos paquetes de npm secuestrados y un grupo de paquetes de Go diseñados para desplegar un ladrón de información basado en Python en hosts comprometidos de Windows, Linux y macOS.

"Este ataque evita las rutas de ejecución de npm más comunes a través de scripts de ciclo de vida, quizás en un intento de permanecer 'compatible' con los endurecimientos de seguridad de npm v12", afirmó JFrog en un análisis técnico.

"El paquete oculta la ejecución dentro de una tarea de VS Code, configurada para ejecutarse automáticamente cuando se abre la carpeta del proyecto en VS Code. Desde ahí, el malware recupera JavaScript cifrado de los datos de transacciones de blockchain, se conecta a la infraestructura controlada por el atacante, lanza un backdoor de socket.io y, finalmente, despliega un infostealer de Python".

Los nombres de los paquetes de npm identificados se enumeran a continuación:

* html-to-gutenberg
* fetch-page-assets (que lista a html-to-gutenberg como dependencia)

Los dos paquetes fueron subidos a npm el 25 de mayo de 2026 y ya no están disponibles para su descarga desde el registro. El punto de partida del ataque es una tarea oculta de Microsoft Visual Studio Code (VS Code) llamada "eslint-check", configurada con la opción "runOn: 'folderOpen'" para activar la ejecución de código arbitrario cuando la carpeta se abre como una carpeta de espacio de trabajo en un IDE como VS Code o Cursor.

"No ejecutan recursivamente cada .vscode/tasks.json anidado; en este caso, el disparador se activa cuando el propio directorio del paquete malicioso se abre como el espacio de trabajo y se marca como confiable, o que el desarrollador permitió explícitamente las tareas automáticas", dijo JFrog. "El comando también disfraza el payload como un archivo de fuente - public/fonts/fa-solid-400.woff2, a pesar de que el archivo solo contiene código JavaScript".

Vale la pena señalar que el abuso de una tarea de ejecución automática de VS Code, junto con el disfraz de malware JavaScript como archivos de fuente, ha sido atribuido a Corea del Norte. El equipo de OpenSourceMalware, que rastrea la actividad bajo el nombre de Fake Font, la ha descrito como una variante de Contagious Interview, una campaña prolongada dirigida a desarrolladores de software y personal técnico a través de procesos de entrevistas de trabajo fraudulentos.



"Esta campaña 'Fake Font' entrega un cargador de varias etapas que finalmente despliega el backdoor de Python InvisibleFerret, diseñado para robar monederos de criptomonedas, credenciales del navegador y establecer acceso persistente", señaló el investigador de seguridad Paul McCarty en enero. "Esta es la tercera subcampaña de la campaña Contagious Interview que ha estado activa desde 2023".

El falso archivo de fuente utiliza la infraestructura de blockchain como un resolutor de "dead drop", apoyándose en TronGrid y Aptos como mecanismo de respaldo para obtener un payload de JavaScript de la siguiente etapa, de manera que sea resistente a los esfuerzos de eliminación. La etapa de JavaScript repite el mismo patrón de recuperación para configurar un servidor de comando y control (C2) que permite la carga de archivos y la entrega de malware de Python.

Esto incluye la configuración de un backdoor Socket.io que otorga al operador el control remoto sobre el host infectado mediante funciones como la ejecución de shell, recolección del portapapeles, operaciones del sistema de archivos, carga de archivos, gestión de procesos y ejecución arbitraria de JavaScript.

En paralelo, la cadena de infección lanza un componente cargador de Python responsable de recuperar el infostealer de Python desde el servidor C2 e instalar las dependencias necesarias. El artefacto es un ladrón de credenciales, navegadores, monederos y artefactos de desarrollador de amplio alcance que puede extraer datos almacenados en navegadores basados en Chromium y Mozilla Firefox, gestores de contraseñas, autenticadores y monederos de criptomonedas.

También está equipado para recolectar información orientada al desarrollador como credenciales de Git, hosts.yml de GitHub CLI, registros de GitHub Desktop, VS Code y almacenamiento global, así como datos del Administrador de Credenciales de Windows, Secret Service de Linux, KDE Wallet, Keychain de macOS y metadatos de almacenamiento en la nube para Dropbox, Google Drive, Microsoft OneDrive, Apple iCloud, Box, Mega y pCloud.

En la etapa final, los datos recolectados se empaquetan en archivos ZIP comprimidos y se suben al servidor C2, y a un bot de Telegram si el atacante proporciona un token de bot durante la ejecución.

La campaña también ha afectado al ecosistema go

La campaña también ha apuntado al ecosistema Go, habiendo descubierto Nextron Systems un conjunto de 16 paquetes de Go que contienen el mismo malware. La lista es la siguiente:

* github.com/lambda-platform/lambda
* github.com/reauheau/goaubio
* github.com/glacialspring/go-winsparkle
* github.com/bm-197/chill
* github.com/naol7/dist-task-scheduler
* github.com/anatoli-derese/a2sv-excercise
* github.com/amantsehay/a2sv-go-course
* github.com/dexbotsdev/uniswap-v2-v3-arbitrage
* github.com/lambda-platform/ebarimt-rest-api
* github.com/lambda-platform/dan
* github.com/zainirfan13/graphql-client
* github.com/hngi/team-fierce-backend-golang
* github.com/glacialspring/static
* github.com/rickt/slack-weather-bot
* github.com/Barsu5489/commerce
* github.com/Setsu548/Logistic

"La mayoría parecen ser paquetes legítimos cuya última versión lanzada incluía el malware junto con los contenidos originales del paquete, utilizando la misma estructura y el archivo de fuente falso", añadió JFrog.

Si has instalado estos paquetes, se te recomienda que los elimines inmediatamente, busques tareas ocultas de apertura de carpetas de VS Code en tus máquinas de desarrollo y cambies tus credenciales, tokens, credenciales de la nube, claves API, contraseñas almacenadas en el navegador y credenciales de monederos.

"Los payloads muestran que el atacante estaba interesado tanto en el robo inmediato como en el acceso interactivo", concluyó la empresa de ciberseguridad. "El backdoor basado en socket.io proporciona la ejecución de comandos y la recolección de archivos, mientras que la etapa de Python realiza una recolección masiva de credenciales y monederos en navegadores, almacenes de credenciales del SO, herramientas de desarrollador y aplicaciones de criptomonedas".

Fuente:
THN