Investigadores en ciberseguridad han descubierto un paquete malicioso publicado en el repositorio npm que se hace pasar por una biblioteca legítima de la API de WhatsApp, pero que en realidad está diseñado para robar datos confidenciales de los usuarios. El paquete, identificado bajo el nombre lotusbail, fue subido al registro con funciones que simulan ofrecer acceso a la API de WhatsApp y, a pesar de su naturaleza dañina, ya ha sido descargado decenas de miles de veces desde su publicación en mayo de 2025.
Bajo la apariencia de una herramienta funcional para desarrolladores, el malware intercepta credenciales de autenticación, historial de mensajes, listas de contactos, archivos multimedia y cualquier dato asociado al uso de WhatsApp. Además, implementa un mecanismo que vincula el dispositivo del atacante con la cuenta de la víctima a través de un código de emparejamiento hardcoded, lo que permite acceso persistente incluso después de que el paquete sea desinstalado.
Este ataque se aprovecha de la confianza que los desarrolladores suelen tener en paquetes disponibles públicamente en npm, combinando código legítimo con funcionalidades maliciosas ocultas. El malware utiliza un envoltorio WebSocket para redirigir las operaciones normales y capturar la información antes de cifrarla y enviarla a un servidor controlado por actores maliciosos.
La campaña destaca por su sofisticación, ya que el paquete conserva la funcionalidad esperada por quienes lo instalan, lo que dificulta su detección por análisis estático o sistemas de reputación automatizados. Esta táctica de “supply chain” pone de relieve los riesgos potenciales en el ecosistema de software open source, donde desarrolladores pueden instalar dependencias sin una verificación rigurosa de seguridad.
