Jscrambler, empresa especializada en seguridad para aplicaciones web y móviles, confirmó que un actor malicioso publicó una versión comprometida de su paquete npm, descargada cerca de 1,500 veces en solo dos horas. Este paquete contenía un malware diseñado para robar información sensible durante la instalación.
Por qué importa: La infiltración en un paquete tan popular expone a desarrolladores y proyectos a riesgos graves de seguridad, comprometiendo credenciales, código fuente y datos confidenciales.
Lo esencial
El malware afectó las versiones 8.14, 8.16, 8.17 y 8.20 del paquete npm de Jscrambler.
El código malicioso se ejecutaba en el hook 'preinstall', robando datos como credenciales y archivos de proyecto.
Jscrambler revocó las credenciales comprometidas y lanzó la versión segura 8.22 tras detectar el incidente.
Imagen de referencia: BleepingComputer.
Detalles del ataque y alcance del malware
El paquete npm comprometido fue una dependencia para otros cuatro paquetes de Jscrambler, los cuales también fueron descontinuados y reemplazados. El malware incluía un infostealer que capturaba una amplia variedad de datos, desde código fuente y secretos de desarrollo hasta credenciales en la nube y configuraciones de herramientas de inteligencia artificial.
Entre los datos robados se encuentran credenciales para Git, SSH, variables de entorno, tokens de integración continua, así como claves para servicios en AWS, Azure, Google Cloud y Kubernetes. También se dirigía a carteras de criptomonedas y datos almacenados en navegadores y aplicaciones de mensajería como Slack y Discord.
Medidas de seguridad y respuesta de Jscrambler
La compañía atribuyó el incidente a la filtración de sus credenciales para publicar en npm, que fueron inmediatamente revocadas. Además, implementaron controles adicionales en su proceso de publicación para evitar futuros compromisos. La versión maliciosa estuvo disponible solo dos horas antes de ser retirada y reemplazada por una versión segura.
Jscrambler recomendó a los desarrolladores que usaron las versiones afectadas considerar sus entornos comprometidos, rotar todas las claves y restaurar desde copias de seguridad confiables.
Impacto en la comunidad de desarrolladores
Con aproximadamente 17,000 descargas semanales, el paquete npm de Jscrambler es una herramienta clave para proteger el código JavaScript de modificaciones maliciosas. Este incidente pone en evidencia la vulnerabilidad de la cadena de suministro de software y la importancia de monitorear y asegurar las dependencias utilizadas en proyectos.
La sofisticación del malware, que usaba cifrado ChaCha20-Poly1305 para dificultar su análisis, resalta la creciente complejidad de las amenazas dirigidas a desarrolladores y empresas tecnológicas.
Preguntas frecuentes sobre Jscrambler y el ataque
¿Qué versiones del paquete npm estuvieron comprometidas?
Las versiones afectadas fueron la 8.14, 8.16, 8.17 y 8.20, todas retiradas y reemplazadas por la 8.22 segura.
¿Qué tipo de información robaba el malware?
El malware capturaba credenciales de desarrollo, secretos en la nube, configuraciones de herramientas IA, datos de navegadores, carteras de criptomonedas y mensajes de aplicaciones colaborativas.
