Investigadores de Checkmarx detectaron ViteVenom, una campaña de ataques a la cadena de suministro con siete paquetes maliciosos de npm dirigidos al ecosistema Vite. Esta operación, atribuida al actor SuccessKey, utiliza una infraestructura de mando y control basada en blockchain para entregar un troyano de acceso remoto. Se recomienda a los usuarios eliminar estos paquetes inmediatamente, auditar sus dependencias y rotar todas sus credenciales.

Investigadores de ciberseguridad han descubierto un grupo de siete paquetes maliciosos de npm dirigidos al ecosistema de herramientas de frontend Vite como parte de un ataque a la cadena de suministro de software.

La campaña de paquetes maliciosos, denominada ViteVenom https://checkmarx.com/zero-post/sequel-to-chainveil-npm-malware-targets-vite-ecosystem/ por Checkmarx, marca una expansión de ChainVeil https://checkmarx.com/zero-post/chainveil-a-malicious-npm-supply-chain-attack-by-successkey/, que fue observada utilizando una infraestructura de comando y control (C2) basada en blockchain de cuatro niveles "sin precedentes", que abarca Tron, Aptos y Binance Smart Chain para entregar un troyano de acceso remoto (RAT) capaz de ejecutar shells inversas, recolección de credenciales, exfiltración de archivos e inyección de puertas traseras persistentes.

"Esta táctica hace que desactivar o destruir la infraestructura C2 sea extremadamente difícil", dijo el investigador de Checkmarx, Pavan Gudimalla, en un análisis publicado el mes pasado. La actividad ha sido atribuida a un actor de amenazas llamado SuccessKey, con evidencia de actividad maliciosa detectada desde el 27 de febrero de 2026, cuando se activaron las billeteras de criptomonedas vinculadas a ViteVenom.

Mientras que los typosquats publicados en npm en relación con ChainVeil se hacían pasar por librerías para Tailwind, Sass, ORM y herramientas de limitación de tasa, la última iteración se centra específicamente en desarrolladores que crean aplicaciones utilizando la herramienta de construcción de frontend y JavaScript Vite.

La lista de paquetes identificados, publicados entre el 29 de junio y el 3 de julio de 2026, se encuentra a continuación:

• * @uw010010/vite-tree (1070 descargas)
• * @vite-tab/tab (289 descargas)
• * @vite-ln/build-ts (252 descargas)
• * @vite-mcp/vite-type (239 descargas)
• * @vite-pro/vite-ui (200 descargas)
• * @vitets/vite-ts (194 descargas)
• * @vite-ts/vite-ui (176 descargas)

Otra diferencia crucial entre los dos grupos es que, a diferencia de los typosquats sin alcance de ChainVeil (por ejemplo, "rate-limit-flexible"), ViteVenom hace uso de nombres de paquetes con alcance (scoped) en un intento de suplantar el espacio de nombres "@vitejs/*" y darle una apariencia de legitimidad.

El aspecto principal que une a las dos campañas es el uso de una infraestructura compartida de nivel 2, que se utiliza para entregar el RAT. Específicamente, esto involucra la misma billetera de Tron y direcciones de cuenta de Aptos, que apuntan a la misma transacción de Binance Smart Chain (BSC) que conduce al malware.

Al igual que en el caso de ChainVeil, el código malicioso no se ejecuta al instalarse, sino al importarse, lo que tiene la consecuencia de limitar las detecciones de seguridad del endpoint. Actúa como un cargador contactando a la infraestructura de blockchain para obtener la siguiente etapa:

* Consulta la blockchain de Tron para obtener la última transacción de la billetera del atacante.
* Decodifica e invierte el campo de datos de la transacción para obtener un hash de transacción de BSC.
* Consulta la transacción de BSC para extraer la carga útil cifrada de su campo de entrada.
* Desencripta la carga útil utilizando una clave codificada.

"El atacante almacena punteros de carga útil como datos de transacción en blockchains públicas en lugar de en nombres de dominio que pueden ser incautados, lo que hace que la infraestructura sea casi imposible de derribar", explicó Gudimalla.

Si el método de recuperación de la carga útil basado en Tron falla, el malware utiliza Aptos como respaldo. La carga útil, por su parte, consulta la blockchain para recuperar la configuración del C2 y un cargador de siguiente etapa responsable de lanzar el RAT. En conjunto, existe un mecanismo de contingencia que obtiene el RAT directamente del servidor C2 a través de HTTP, saltándose completamente la blockchain.

Si has instalado estos paquetes, se te aconseja que los elimines inmediatamente, audites tus dependencias, rotes todas tus credenciales y busques modificaciones no autorizadas en los archivos .bashrc, .zshrc y .profile.

"Las diferencias superficiales —nombres de paquetes diferentes, cuentas de mantenedores diferentes, billeteras de Nivel 1 diferentes, rutas de archivos maliciosos diferentes— son coherentes con la forma en que un solo operador compartimentaría múltiples vías de distribución para limitar la exposición", afirmó Checkmarx.

Fuente:
THN