Paquetes de npm vinculados a Corea del Norte se hacen pasar por herramientas de polyfill de Rollup para robar secretos de desarrolladores

      TL;DR Seis paquetes maliciosos de npm que imitan herramientas de polyfill de Rollup robaron credenciales de desarrolladores y habilitaron acceso remoto en una campaña vinculada a Lazarus. Los investigadores de seguridad de JFrog han identificado un conjunto de paquetes maliciosos de npm vinculados a actores de amenazas norcoreanos que suplantan herramientas legítimas de polyfill de Rollup para robar credenciales de desarrolladores y habilitar acceso remoto a máquinas comprometidas. Los paquetes, llamados “rollup-packages-polyfill-core” y “rollup-runtime-polyfill-core,” imitan el legítimo proyecto “rollup-plugin-polyfill-node” hasta en su descripción, metadatos del repositorio y estructura del paquete. Los seis paquetes de la campaña han sido eliminados desde entonces del registro de npm. El ataque utiliza una cadena de entrega en capas diseñada para evadir la detección. Los paquetes de primera etapa instalan dependencias ocultas de segunda etapa disfrazadas como utilidades SVG, que luego obtienen un objeto JSON de un servicio de alojamiento remoto y ejecutan la carga útil incrustada en él. JFrog dijo que la estructura, combinada con nombres similares, metadatos que parecen legítimos y verificaciones de entorno diseñadas para evitar sandboxes y plataformas de desarrollo en la nube, es consistente con campañas anteriores de npm vinculadas a Lazarus. Una vez que se ejecutan las etapas posteriores, el malware le da al atacante tanto capacidades de recopilación como de control en la máquina comprometida. La carga útil roba datos de navegadores web y billeteras de criptomonedas, captura contenido del portapapeles periódicamente y cosecha archivos que coinciden con extensiones específicas. También apunta a configuraciones de herramientas de desarrollo para VS Code, Windsurf y Cursor, junto con credenciales para AWS, Microsoft Azure, Google Gemini, Anthropic Claude y claves SSH. La campaña no es un incidente aislado. En abril, investigadores de Panther documentaron una operación sostenida de npm de Lazarus que publicó 108 paquetes maliciosos en 261 versiones para entregar BeaverTail y OtterCookie, dos familias de malware norcoreanas conocidas vinculadas a la campaña de Entrevista Contagiosa. Los últimos paquetes comparten características con OtterCookie, incluyendo el uso de una biblioteca de control de teclado y ratón bifurcada que permite sesiones de terminal remota interactivas, captura de pantallas y entrada de usuario simulada en máquinas Windows comprometidas. La divulgación llega junto a una ola más amplia de ataques a la cadena de suministro que apuntan a repositorios de paquetes de código abierto. Checkmarx, SafeDep y el investigador de AWS Chi Tran identificaron por separado grupos de paquetes maliciosos en npm y PyPI que roban credenciales de la nube, billeteras de criptomonedas, claves SSH y secretos de desarrolladores. Los plugins de Rollup se cargan comúnmente desde estaciones de trabajo de desarrolladores y tuberías de construcción de CI, entornos que han demostrado ser cada vez más vulnerables a compromisos de la cadena de suministro y que a menudo contienen acceso a activos sensibles, incluyendo código fuente, claves API y secretos de proyectos.

      

      

       Publicado el 3 de julio de 2026 - 4:55 pm UTC

      

       Volver arriba