Un ataque de cadena de suministro ha introducido el malware Miasma en paquetes npm de AsyncAPI, poniendo en riesgo los sistemas de desarrolladores y entornos de compilación automatizados. Los atacantes aprovecharon un proceso de lanzamiento comprometido para publicar código malicioso a través del espacio de nombres legítimo del proyecto, afectando a paquetes que suman aproximadamente 2,9 millones de descargas semanales.

Un ataque a la cadena de suministro ha introducido el malware Miasma en paquetes npm de AsyncAPI confiables, poniendo en riesgo los sistemas de los desarrolladores y los entornos de compilación automatizados.

Los atacantes utilizaron un proceso de lanzamiento comprometido para publicar código malicioso a través del espacio de nombres npm legítimo del proyecto.

Los paquetes afectados tuvieron un alcance combinado de aproximadamente 2,9 millones de descargas semanales, aunque las cifras de descarga no confirman infecciones.

La campaña es preocupante porque estas herramientas pueden ejecutarse dentro de estaciones de trabajo de desarrollo, tareas de documentación y tuberías de CI/CD que a menudo contienen credenciales sensibles.

Cato Networks afirmó en un informe que identificó la actividad mediante el monitoreo de inteligencia de la cadena de suministro.

Sus investigadores descubrieron que los atacantes utilizaron una ruta de lanzamiento de software confiable para distribuir una carga útil de Node.js asociada a Miasma.

El incidente demuestra por qué los nombres de paquetes válidos y los flujos de trabajo de publicación oficiales ya no son suficientes para establecer confianza.

Como se vio en un incidente reciente de GitHub Action comprometido, los atacantes pueden dirigirse a la automatización misma para obtener acceso a secretos y proyectos downstream.

Abusan de GitHub Actions

El ataque comenzó con una configuración vulnerable de GitHub Actions que permitió que el contenido de una solicitud de extracción (pull request) no confiable interactuara con un contexto de flujo de trabajo privilegiado.

Esto le dio al atacante una vía para obtener o abusar de una identidad de automatización de AsyncAPI y realizar cambios no autorizados en el repositorio.

Los cambios maliciosos se colocaron en una rama vinculada al proceso de lanzamiento del proyecto y fueron diseñados para parecer una actividad de desarrollo ordinaria.

La propia automatización de publicación de AsyncAPI lanzó entonces los paquetes alterados, haciendo que parecieran legítimos porque provenían del espacio de nombres npm esperado.

Esta técnica hace que el incidente sea diferente a una simple operación de typosquatting, donde los criminales publican paquetes similares bajo cuentas desconocidas.

También recuerda los riesgos descritos en el ataque al flujo de trabajo de GitHub Actions, donde el manejo inseguro de la actividad de solicitudes de extracción no confiables puede exponer tokens y credenciales en la nube.

Los lanzamientos maliciosos fueron @asyncapi/generator versión 3.3.1, @asyncapi/generator-helpers versión 1.1.1, @asyncapi/generator-components versión 0.7.1, y @asyncapi/specs versiones 6.11.2-alpha.1 y 6.11.2.

Los equipos que restauraron automáticamente las dependencias durante la ventana de exposición pueden haber importado el código afectado en sus entornos de compilación.

Miasma utiliza una ejecución sigilosa

El JavaScript inyectado no dependía de los scripts comunes del ciclo de vida de npm, como el postinstall.

En su lugar, se ejecutaba cuando se importaba un módulo afectado, lo que permitía que el malware permaneciera inactivo después de la instalación y se ejecutara más tarde durante una compilación, la ejecución de una aplicación, una tarea de documentación o un trabajo de CI/CD.

El código de la primera etapa lanzó un proceso de Node.js independiente y descargó una carga útil de segunda etapa cifrada desde IPFS.

Los investigadores dijeron que la carga útil podía mantener el acceso, ejecutar comandos remotos, gestionar archivos, actualizarse a sí misma y comunicarse con la infraestructura controlada por el atacante.

Este enfoque sigue un patrón más amplio de ataques de npm que evitan los ganchos de instalación obvios. Campañas anteriores que involucraban archivos de paquetes binding.gyp maliciosos intentaron similarmente eludir las comprobaciones centradas solo en los scripts estándar del paquete.

Miasma también utilizó un contrato de Ethereum como fuente de respaldo para la configuración de comando y control, incluyendo puntos finales alternativos, información de relé y datos de arranque.

La configuración revisada en este caso se comportó principalmente como una herramienta de acceso remoto, por lo que los investigadores lo describieron como un RAT asociado a Miasma, en lugar de asumir que se propagaría automáticamente en cada entorno afectado.

Tú y tu organización deberían revisar los manifiestos, los archivos de bloqueo, las cachés y los artefactos de compilación para buscar las versiones afectadas y luego determinar si fueron importadas o ejecutadas.

Los equipos de seguridad también deberían buscar la carga útil mencionada, revisar las conexiones salientes y los registros del repositorio, rotar las credenciales accesibles y restringir los flujos de trabajo privilegiados que utilizan pull_request_target.

Indicadores de compromiso (IoCs):-

Nota: Las direcciones IP y los dominios se han "desactivado" intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de enlaces. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.