Diversos proveedores de seguridad han emitido advertencias sobre una nueva ola de
ataques contra el registro NPM, que presenta similitudes con el ataque
Shai-Hulud
ocurrido en septiembre pasado.
La reciente campaña de la cadena de suministro, llamada Sha1-Hulud, ha
comprometido cientos de paquetes NPM, según reportes de
Aikido,
HelixGuard,
Koi Security,
Socket, y
Wiz. Los paquetes infectados fueron subidos al NPM entre el 21 y el 23 de
noviembre de 2025. Aikido también publicó la
lista de paquetes comprometidos
(más de 26,000 hasta el momento).
«La campaña introduce una nueva variante que ejecuta código malicioso
en la fase de preinstalación, lo que incrementa considerablemente la
exposición en entornos de compilación y ejecución,» afirmaron los investigadores de Wiz, Hila Ramati, Merav Bar, Gal Benmocha y
Gili Tikochinski.
Al igual que el ataque Shai-Hulud revelado en septiembre de 2025, el
nuevo ataque también publica secretos robados en GitHub, esta vez con la descripción del repositorio: «Sha1-Hulud: The Second Coming».
La ola anterior se caracterizó por la vulneración de paquetes legítimos para
distribuir código malicioso diseñado para buscar secretos en las máquinas de
los desarrolladores mediante un escáner de credenciales como
TruffleHog
y enviar la información a un servidor controlado por el atacante. Las
versiones infectadas también tenían la capacidad de replicarse,
volviendo a publicarse en otros paquetes NPM pertenecientes al mantenedor
comprometido.
En el reciente ataque, los atacantes incluyeron un script de preinstalación («setup_bun.js») en el archivo
package.json, configurado para instalar o de manera sigilosa detectar el
entorno de ejecución de Bun y ejecutar un script malicioso adicional
(«bun_environment.js»).
La carga maliciosa lleva a cabo una serie de acciones a través de dos
flujos de trabajo distintos:
-
Registra la máquina infectada como un ejecutor autoalojado llamado
«SHA1HULUD» y agrega un flujo de trabajo denominado
.github/workflows/discussion.yaml que contiene vulnerabilidades de
inyección, permitiendo al atacante ejecutar comandos arbitrarios en las máquinas infectadas al abrir discusiones en el repositorio de GitHub. -
Exfiltra secretos definidos en la sección de secretos de GitHub y los sube
como artefacto, después de lo cual se borra el flujo de trabajo para ocultar la actividad.
«Luego de la ejecución, el malware descarga y ejecuta TruffleHog para realizar
un escaneo local, robando información confidencial como tokens NPM,
credenciales de AWS/GCP/Azure y variables de entorno,» destacó HelixGuard.
Wiz reportó haber detectado más de 26,000 repositorios afectados en alrededor de 350
usuarios únicos, con la incorporación constante de 1,000 nuevos repositorios cada 30
minutos durante las últimas dos horas.
«Esta campaña continúa la tendencia de comprometer la cadena de suministro
de NPM referenciando la nomenclatura y el manejo de marca
Shai-Hulud, aunque podría involucrar a diferentes actores,» declaró Wiz.
«La amenaza utiliza cuentas de mantenedores comprometidas para
publicar versiones troyanizadas de paquetes NPM legítimos que ejecutan
código malicioso de robo de credenciales y exfiltración durante la instalación.»
Koi Security describió la segunda ola como mucho más agresiva, mencionando que el
malware intenta eliminar todo el directorio personal del usuario si no logra
autenticarse o establecer persistencia. Esto incluye todos los archivos
editables en la carpeta personal del usuario actual. Sin embargo, esta funcionalidad de borrado solo se activa cuando se cumplen las siguientes condiciones:
- No puede autenticarse en GitHub
- No puede crear un repositorio de GitHub
- No puede obtener un token de GitHub
- No puede encontrar un token NPM
«En otras palabras, si Sha1-Hulud no puede robar credenciales, obtener
tokens o asegurar algún canal de exfiltración, recurre a la destrucción
catastrófica de datos,» afirmaron los investigadores de seguridad Yuval Ronen e Idan Dardikman.
«Esto representa una escalada significativa en comparación con la primera ola,
al cambiar las tácticas del robo de datos hacia un sabotaje punitivo.»
Para mitigar el riesgo que representa esta amenaza, se recomienda a las
organizaciones escanear todos los endpoints en busca de paquetes afectados,
eliminar inmediatamente las versiones comprometidas, rotar todas las
credenciales y auditar los repositorios en busca de mecanismos de persistencia,
revisando .github/workflows/ en busca de archivos sospechosos como
shai-hulud-workflow.yml o ramas inesperadas.
Fuente:
THN
Con Información de blog.segu-info.com.ar