El responsable del paquete Axios npm ha confirmado que el compromiso de la cadena de suministro fue el resultado de una campaña de ingeniería social muy específica orquestada por actores de amenazas norcoreanos rastreados como UNC1069.
mantenedor Jason Saayman dijo que los atacantes adaptaron sus esfuerzos de ingeniería social «específicamente a mí», acercándose primero a él bajo la apariencia del fundador de una empresa legítima y conocida.
«Habían clonado la imagen de los fundadores de la empresa y la propia empresa», Saayman dicho en una autopsia del incidente. «Luego me invitaron a un espacio de trabajo real de Slack. Este espacio de trabajo tenía la marca del CI de la empresa y un nombre plausible. [workspace] fue pensado muy bien; Tenían canales donde compartían publicaciones de LinkedIn».
Posteriormente, se dice que los actores de amenazas programaron una reunión con él en Microsoft Teams. Al unirse a la llamada falsa, se le presentó un mensaje de error falso que decía «algo en mi sistema no estaba actualizado». Tan pronto como se activó la actualización, el ataque provocó la implementación de un troyano de acceso remoto.
El acceso proporcionado por el troyano permitió a los atacantes robar las credenciales de la cuenta npm necesarias para publicar dos versiones troyanizadas del paquete Axios npm (1.14.1 y 0.30.4) que contiene un implante llamado WAVESHAPER.V2.
«Todo estuvo muy bien coordinado, parecía legítimo y se hizo de manera profesional», añadió Saayman.
La cadena de ataque descrita por las acciones del mantenedor del proyecto. superposiciones considerables con oficios asociados con UNC1069 y BlueNoroff. Los detalles de la campaña fueron ampliamente documentados por Cazadora y Kaspersky el año pasado, y este último lo rastreó bajo el nombre de GhostCall.
 |
| Fuente: Kaspersky |
En estos ataques, a los usuarios se les muestra un mensaje de error segundos después de unirse a la llamada, que indica que su sistema no funciona correctamente y les indica que descarguen un SDK malicioso de Zoom o Teams a través de un Hacer clic en arreglar-como mensaje emergente. Dependiendo del sistema operativo de la víctima, esta acción conduce a la ejecución de un script AppleScript (para macOS) o PowerShell (para Windows).
Una de las cargas útiles maliciosas implementadas como parte de la cadena de ataque es una puerta trasera para macOS basada en Nim (o una variante de Go escrita para Windows) llamada CosmicDoor que ofrece un completo conjunto de ladrones denominado SilentSiphon para capturar credenciales de navegadores web y administradores de contraseñas, y secretos asociados con GitHub, GitLab, Bitbucket, npm, Yarn, Python pip, RubyGems, Rust argo y .NET NuGet.
Como detallado Mandiant, propiedad de Google, en febrero de 2026, algunos de estos ataques también allanaron el camino para la implementación de un malware C++ llamado WAVESHAPER, que luego sirve como conducto para descargadores adicionales, puertas traseras y ladrones de información como HYPERCALL, SUGARLOADER, HIDDENCALL, SILENCELIFT, DEEPBREATH y CHROMEPUSH.
«Históricamente, […] Estos tipos específicos han perseguido a los fundadores de criptomonedas, capitalistas de riesgo y personas públicas», dijo el investigador de seguridad Taylor Monahan. «Ellos ingeniero social ellos y hacerse cargo de sus cuentas y apuntar a la siguiente ronda de personas. Esta evolución hacia la focalización [OSS maintainers] es un poco preocupante en mi opinión.»
Como medidas preventivas, Saayman ha descrito varios cambios, incluido el restablecimiento de todos los dispositivos y credenciales, la configuración de versiones inmutables, la adopción del flujo OIDC para la publicación y la actualización de GitHub Actions para adoptar las mejores prácticas.
Los hallazgos demuestran cómo los mantenedores de proyectos de código abierto se están convirtiendo cada vez más en el objetivo de ataques sofisticados, lo que permite de manera efectiva que los actores de amenazas apunten a usuarios intermedios a gran escala mediante la publicación de versiones envenenadas de paquetes muy populares.
Dado que Axios atrae casi 100 millones de descargas semanales y se utiliza mucho en todo el ecosistema de JavaScript, el radio de explosión de un ataque de este tipo a la cadena de suministro puede ser enorme, ya que se propaga rápidamente a través de dependencias directas y transitivas.
«Un paquete tan ampliamente utilizado como Axios que se ve comprometido muestra lo difícil que es razonar sobre la exposición en un entorno JavaScript moderno», Ahmad Nassri de Socket dicho. «Es una propiedad de cómo funciona hoy la resolución de dependencias en el ecosistema».
El ataque Axios forma parte de una campaña más amplia y coordinada
En un análisis de seguimiento publicado el viernes, Socket dicho Varios mantenedores del ecosistema Node.js se acercan a los mantenedores del ecosistema Node.js, lo que indica que los mantenedores de proyectos de código abierto de alto impacto fueron atacados sin éxito como parte de lo que se ha descrito como una campaña coordinada de ingeniería social.
«La cadena de ataque: establecer una buena relación durante semanas, programar una videollamada, fingir un error de audio, solicitar al objetivo que instale una ‘solución'». Feross Aboukhadijeh, director ejecutivo de Socket dicho. «Esa solución es una RAT. Una vez que está en su máquina, tienen sus tokens .npmrc, sesiones de navegador, credenciales de AWS y llavero. 2FA no importa. La publicación OIDC no importa. Se acabó el juego».
Los objetivos incluían a los propios ingenieros de Socket, Jordan Harbandque mantiene los polyfills y shims de ECMAScript, y John David Daltoncreador de Lodash, una popular biblioteca de utilidades de JavaScript que ofrece métodos para manejar matrices, objetos y otros tipos de datos. También fueron atacados Matteo Collina, el mantenedor principal de Fastify, Pino y Undici, Scott Motte, el creador de dotenv, y Pelle Wessman, mantenedor de mocha, neostandard, npm-run-all2 y type-fest.
Si bien el contacto inicial con Collina fue a través de un mensaje de Slack, Wessman fue invitado a participar en una grabación de podcast, como parte de la cual se le indicó que se uniera a una videollamada que resultó ser una versión falsa de la plataforma de grabación en vivo Streamyard.
Una vez que comenzó la llamada, el sitio falso mostró un «mensaje de error técnicamente plausible» y le pidió a Wessman que descargara una aplicación nativa para resolverlo. Cuando Wessman se negó a ejecutarlo, los actores de amenazas norcoreanos cambiaron de táctica y le pidieron que ejecutara un comando curl en la aplicación Terminal. Habiendo fracasado también en este esfuerzo, borraron todas las conversaciones y se apagaron.
En otro caso documentado por Jean Burellier, colaborador principal de Node.js y colaborador de Express, el esfuerzo de ingeniería social comenzó con un mensaje de LinkedIn de los actores de la amenaza, haciéndose pasar por el representante de una empresa llamada Openfort. Después del ejercicio inicial de generación de confianza, se invitó a Burellier a unirse a dos espacios de trabajo de Slack. Tan pronto como se unió, lo colocaron en un canal privado sin otros miembros visibles y lo invitaron a unirse a una llamada falsa de Microsoft Teams.
A partir de aquí, la cadena de ataque refleja la que documentaron Huntress, Kaspersky y Google, con la página falsa de Teams que muestra un mensaje para actualizar el SDK de Teams. Cuando Burellier se negó a instalar la actualización y sugirió reprogramar la llamada, lo eliminaron de los espacios de trabajo de Slack y las conversaciones se eliminaron.
«Las cuentas ahora abarcan algunos de los paquetes de los que más se depende en el registro npm y el propio núcleo de Node.js, y en conjunto confirman que Axios no era un objetivo único», dijo la compañía de seguridad de la cadena de suministro de software. «Era parte de un patrón de ataque coordinado y escalable dirigido a mantenedores de código abierto de gran confianza y alto impacto».
(La historia se actualizó después de su publicación el 4 de abril de 2026 para reflejar los últimos acontecimientos).
Fuente