Investigadores detectaron MALFEX, una campaña de malware en npm que distribuye troyanos de acceso remoto y ladrones de información en sistemas Windows. A través de 12 paquetes maliciosos, el atacante, presuntamente brasileño, ha logrado más de 40,000 descargas, destacando el paquete function-flag. El ataque utiliza ganchos de postinstalación para ejecutar código remoto y robar datos de navegadores, billeteras de criptomonedas y Discord.

Un nuevo ataque a la cadena de suministro está dirigiéndose al ecosistema de desarrolladores de SAP mediante paquetes npm envenenados. La campaña utiliza un gusano malicioso llamado “Mini Shai-Hulud”, que se ejecuta en silencio antes de que finalice cualquier instalación de npm y roba credenciales de máquinas de desarrolladores, plataformas en la nube y herramientas de codificación con IA. El ataque afectó a cuatro paquetes oficiales publicados por SAP: mbt, @cap-js/sqlite, @cap-js/postgres y otros.

Varios paquetes oficiales de SAP npm fueron comprometidos en un ataque a la cadena de suministro para robar credenciales y tokens de autenticación (incluyendo AWS, Azure, GitHub y SSH). Los paquetes afectados (@cap-js/sqlite, @cap-js/postgres, @cap-js/db-service, mbt) ejecutaban un script malicioso al instalarse, descargando un payload ofuscado que extraía secretos de memoria y los subía a repositorios GitHub bajo la cuenta de la víctima. El ataque, vinculado a TeamPCP, se propagaba autónomamente usando credenciales robadas y podría originarse por un token de NPM expuesto en CircleCI.

Socket ha confirmado que la versión 2026.4.0 de Bitwarden CLI fue comprometida como parte de la campaña en curso de Checkmarx en la cadena de suministro, exponiendo a millones de usuarios y miles de empresas al robo de credenciales y la infiltración en pipelines de CI/CD. El ataque tuvo como objetivo @bitwarden/cli 2026.4.0 en npm, inyectando un archivo malicioso llamado bw1.js en el contenido del paquete. Bitwarden CLI.

La Comisión Europea sufrió recientemente una grave brecha de datos en su plataforma web principal, europa.eu, como consecuencia de un compromiso en la cadena de suministro que involucró al popular escáner de vulnerabilidades de código abierto, Trivy. El 3 de abril de 2026, CERT-EU publicó un aviso oficial en el que detallaba cómo un actor de amenazas conocido como TeamPCP explotó la herramienta de integración y entrega continua (CI/CD) comprometida para extraer datos de Amazon

Una biblioteca de JavaScript ampliamente utilizada llamada Axios fue el centro de un grave ataque a la cadena de suministro que salió a la luz el 31 de marzo de 2026. Dos versiones actualizadas del paquete Axios en npm —la versión 1.14.1 y la versión 0.30.4— contenían código malicioso diseñado para instalar silenciosamente software dañino en las máquinas de los desarrolladores

Atacantes subieron versiones maliciosas de Axios (1.14.1 y 0.30.4) en npm que incluían una dependencia fraudulenta (plain-crypto-js) para distribuir un RAT multiplataforma en Windows, macOS y Linux mediante un ataque de software supply chain.

El paquete oficial de Telnyx en PyPI fue comprometido esta mañana como parte de una campaña de cadena de suministro en escalada, orquestada durante semanas por el grupo de actores de amenazas TeamPCP. Las versiones maliciosas 4.87.1 y 4.87.2 del paquete *telnyx* fueron subidas a PyPI a las 03:51 UTC del 27 de marzo de 2026, con la carga útil ejecutándose silenciosamente al momento de la importación

Un nuevo gusano de cadena de suministro está atacando activamente el ecosistema npm, con un equipo de investigación identificando al menos 19 paquetes maliciosos diseñados para robar secretos de desarrolladores y CI/CD, y propagarse automáticamente a través de repositorios y flujos de trabajo. La campaña, rastreada como SANDWORMMODE, utiliza paquetes npm con typosquatting y GitHub Actions envenenadas para infectar tanto máquinas de desarrolladores.