Un grupo de siete paquetes maliciosos publicados en npm ha sido identificado como parte de un ataque a la cadena de suministro en el ecosistema de herramientas frontend Vite. La campaña, llamada ViteVenom por la firma Checkmarx, utiliza una infraestructura de comando y control (C2) basada en blockchain para distribuir un troyano de acceso remoto (RAT) con capacidades avanzadas de robo de credenciales, exfiltración de archivos y persistencia.
Por qué importa: Esta técnica aprovecha blockchains públicas para ocultar y proteger la infraestructura C2, dificultando su detección y eliminación por parte de defensores y plataformas.
Lo esencial
- ViteVenom involucra siete paquetes npm maliciosos publicados entre el 29 de junio y el 3 de julio de 2026.
- El malware usa una cadena de bloques multinivel (Tron, Aptos y Binance Smart Chain) para recibir instrucciones y cargar el payload malicioso.
- El actor de amenaza identificado es SuccessKey, con actividad detectada desde febrero de 2026.
Uso innovador de blockchain para comando y control
Los paquetes maliciosos no ejecutan código dañino al instalarse, sino al importarse, lo que reduce la detección por herramientas de seguridad tradicionales. El RAT consulta transacciones en la blockchain Tron para obtener un hash de transacción en Binance Smart Chain, donde se encuentra cifrado el payload. Este se descifra con una clave fija y se ejecuta para establecer el control remoto.
Si falla la consulta en Tron, el malware recurre a Aptos como respaldo, asegurando la resiliencia de la infraestructura C2. Esta arquitectura en cuatro niveles es inédita y dificulta la interrupción del ataque.
