Se detectó PhantomRaven, un malware basado en JavaScript distribuido mediante paquetes maliciosos en npm para robar credenciales y secretos de CI/CD. CrowdStrike indica que el código fue probablemente generado con inteligencia artificial y que el atacante lo usa para encontrar vulnerabilidades y reclamar recompensas de bug bounty. El actor ha estado activo desde 2022, afectando a diversos sectores tecnológicos y comerciales.







Un actor de amenazas motivado financieramente ha sido vinculado al desarrollo y distribución de un robador de información basado en JavaScript (JS) conocido como PhantomRaven a través del registro de paquetes npm.

"El desarrollador probablemente escribió el malware utilizando un modelo de lenguaje extenso (LLM), una evaluación realizada con alta confianza basada en comentarios detallados, código provisional y patrones de análisis estadístico de tokens", afirmó Counter Adversary Operations de CrowdStrike en un análisis publicado esta semana.

PhantomRaven fue detectado por primera vez por Koi Security y DCODX a finales de octubre de 2025, alertando sobre una campaña de slopsquatting y typosquatting en la que se subieron más de 100 paquetes maliciosos a npm para robar tokens de autenticación, secretos de CI/CD y credenciales de GitHub de las máquinas de los desarrolladores.

El ataque a la cadena de suministro de software utilizó estos paquetes como cobertura para recuperar una dependencia dinámica remota (RDD) desde un servidor externo, de modo que las librerías en sí mismas no fueran detectadas por las herramientas de seguridad.

Una vez instalado, el malware embebido en la dependencia remota escanea el entorno del desarrollador en busca de direcciones de correo electrónico, recopila información sobre el entorno de CI/CD, obtiene una huella digital del sistema, incluida la dirección IP pública, y transmite los resultados a un servidor controlado por el atacante.

También está equipado para recolectar detalles de ejecución, fecha y hora actuales, nombre de usuario y correos electrónicos de las configuraciones de Git/npm, así como variables de entorno de CI/CD para GitHub Actions, GitLab CI, Jenkins y CircleCI.

Los hallazgos más recientes de CrowdStrike muestran que el actor de amenazas ha estado activo desde noviembre de 2022 y afirma ser un cazador de recompensas (bug bounty hunter) que ha obtenido recompensas de no menos de nueve entidades en los sectores de tecnología, comercio minorista y hostelería.

La empresa de ciberseguridad señaló que no ha observado que la información robada por el malware aparezca en tiendas de registros de robadores, lo que indica que "el operador probablemente utiliza el robador de información únicamente para identificar oportunidades de bug bounty".

Se ha observado que al menos dos cuentas de usuario de npm diferentes mantenidas por el operador han publicado paquetes npm que contienen PhantomRaven. Ambas cuentas de npm ya no están accesibles al momento de escribir esto:

* jpdhellonpm1 - transform-jsbi-to-bigint
* jpd15 - sort-imports-es6-autofix

Algunas de las otras identidades en línea vinculadas a la misma operación incluyen jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 y packagedharsh.

"En agosto de 2025, el actor de amenazas afirmó haber descubierto una vulnerabilidad de ejecución remota de código (RCE) a través de un paquete npm malicioso que publicó", señaló la investigadora de seguridad Maddie Stewart. "El actor de amenazas explicó que había comprometido la máquina objetivo y ejecutado su script de preinstalación, lo que supuestamente le permitió lograr la RCE".

Además, han surgido pruebas de que el actor de amenazas intentó subir paquetes al repositorio Python Package Index (PyPI) que contenían código para un robador de información con similitudes con PhantomRaven.

El probable uso de un modelo de lenguaje extenso (LLM) para generar el malware resalta una vez más cómo los actores de amenazas están adoptando cada vez más esta tecnología en sus operaciones, reduciendo el tiempo y el esfuerzo necesarios para llevar a cabo tales campañas.

"La mayoría de los actores criminales [...] alquilan herramientas comunes u operan su propio malware propietario; sin embargo, es probable que este actor de amenazas haya desarrollado su propio PhantomRaven para comprometer activos de empresas y luego haya utilizado estos compromisos como palanca para reclamar recompensas de programas de divulgación acreditados", afirmó CrowdStrike.

Fuente:
THN