Una actualización rutinaria de software ahora puede facilitar una brecha de seguridad en la nube. Los atacantes están ocultando malware para el robo de credenciales dentro de paquetes y herramientas de desarrollo confiables, permitiendo que el código malicioso se ejecute en computadoras de desarrolladores y sistemas de compilación automatizados antes incluso de que se inicie una aplicación. Esta amenaza no pertenece a una sola familia de malware, sino que abarca diversas campañas, entre las que destaca Shai-Hulud.

Una actualización de software rutinaria ahora puede abrir la puerta a una brecha en la nube. Los atacantes están ocultando malware de robo de credenciales dentro de paquetes confiables y herramientas de desarrollo, permitiendo que el código malicioso se ejecute en las computadoras de los desarrolladores y en los sistemas de compilación automatizados antes incluso de que la aplicación se inicie.

La amenaza abarca varias campañas en lugar de una sola familia de malware. Shai-Hulud surgió en septiembre de 2025, mientras que operaciones posteriores se dirigieron a ecosistemas de programación y herramientas de seguridad adicionales.

Una vez que los atacantes obtienen credenciales válidas, pueden acceder al almacenamiento en la nube, inspeccionar la infraestructura, robar datos o establecer un acceso duradero. Los investigadores de Qualys notaron este patrón recurrente en su análisis del 28 de septiembre.

Qualys señaló en un informe que los entornos de desarrollo y la infraestructura de la nube deben tratarse como una única superficie de ataque conectada, y no como problemas de seguridad separados.

Las máquinas de los desarrolladores suelen contener claves de acceso a la nube, tokens de repositorio, credenciales de publicación y claves privadas. Como ilustran los ataques a los paquetes SAP, el robo de esos secretos puede exponer sistemas mucho más allá del proyecto de software original, incluso cuando la aplicación comprometida nunca llega a producción.

Los ataques a la cadena de suministro convierten las máquinas de los desarrolladores

El paso decisivo ocurre durante la instalación. Los gestores de paquetes pueden ejecutar scripts automáticamente, dando a los atacantes acceso a los mismos archivos, variables de entorno y credenciales disponibles para el desarrollador o el trabajo de compilación.

Es posible que las protecciones normales de la aplicación no se activen antes de que el robo ya haya ocurrido. Shai-Hulud buscó inicialmente credenciales de la nube en entornos infectados y cargó la información robada en repositorios públicos de GitHub creados bajo las cuentas de las víctimas.

Una variante de noviembre añadió funciones de puerta trasera y comportamiento destructivo cuando el robo de credenciales fallaba, aumentando las consecuencias de una dependencia comprometida.

Para mayo de 2026, Mini Shai-Hulud utilizaba scripts que se ejecutan antes de que se complete la instalación. Qualys informó que la ola del 19 de mayo comprometió 639 versiones de paquetes en 323 paquetes.

La cobertura del compromiso de paquetes de Mini Shai-Hulud muestra cómo las infecciones se propagan a través de librerías dependientes utilizadas en los flujos de trabajo de desarrollo en la nube.

Cancelar la instalación después de que ese script comience no necesariamente evita la exposición. El payload puede haber recolectado ya tokens de repositorio, claves de la nube y secretos de infraestructura, dejando a los defensores con un compromiso de credenciales en lugar de simplemente un paquete no deseado.

Otras campañas alteraron el propio entorno de compilación. BufferZoneCorp distribuyó gems de Ruby y módulos de Go maliciosos disfrazados de utilidades para desarrolladores.

Estos recolectaron secretos, debilitaron la verificación de paquetes, interceptaron comandos y, a veces, añadieron una clave del atacante para preservar el acceso remoto.

TeamPCP también comprometió herramientas y librerías de escaneo confiables. La brecha de la nube de la Comisión Europea demuestra el impacto más amplio de las credenciales de la nube robadas, con atacantes moviéndose desde una herramienta de desarrollo envenenada hacia el acceso no autorizado y el robo de datos.

Entre el 21 y el 23 de abril de 2026, ataques relacionados golpearon npm, PyPI y Docker Hub en un plazo de 48 horas. En otra campaña de mayo, 14 paquetes que suplantaban librerías de búsqueda robaron secretos de la nube y de pipelines.

Luego, los atacantes utilizaron tokens de publicación para infectar más paquetes, convirtiendo una cuenta de desarrollador comprometida en un canal de distribución para un robo de credenciales potencialmente más extendido.

Conteniendo el robo y la exposición de credenciales

Eliminar un paquete malicioso es solo el comienzo de la recuperación. Qualys recomienda identificar cada credencial a la que la máquina afectada o el sistema de compilación podrían haber accedido, revocar o rotar los secretos expuestos y revisar la actividad de la nube durante todo el periodo de exposición.

Tú y tu equipo deberían reducir los riesgos de instalación aprobando las dependencias, fijando las versiones mediante archivos de bloqueo (lockfiles) y comprobando que las compilaciones preserven esos archivos. Donde los flujos de trabajo lo permitan, desactiva los scripts de instalación automática y permite solo aquellos que hayan sido revisados y sean genuinamente necesarios.

Los trabajos de compilación deben tener solo los permisos necesarios para su tarea. Un trabajo que compila software no debería tener también autoridad de despliegue. Las credenciales de corta duración reducen la dependencia de claves permanentes, mientras que políticas de nube más estrictas pueden evitar la creación de administradores no autorizados o la desactivación de los registros (logs).

Los registros de auditoría de la nube deben protegerse contra modificaciones y monitorearse en busca de actividad inusual. Deberías examinar cambios inesperados de acceso, recursos recién creados y accesos sospechosos al almacenamiento.

Estas comprobaciones ayudan a establecer qué hicieron realmente los atacantes después de obtener credenciales legítimas. Finalmente, restringe el acceso a los servicios de metadatos de la nube cuando los sistemas de compilación no los necesiten.

Exige AWS IMDSv2, prefiere identidades federadas o identidades gestionadas donde sea compatible, y mantén los permisos restringidos. La seguridad del desarrollador y la respuesta en la nube deben seguir toda la ruta del ataque.

Fuentes:
https://cybersecuritynews.com/supply-chain-attacks/