Descubrimiento alarmante en el ecosistema npm
Investigadores de ciberseguridad han identificado dos paquetes npm maliciosos que utilizan contratos inteligentes de Ethereum para ejecutar acciones dañinas en sistemas comprometidos. Esta técnica innovadora demuestra cómo los atacantes evolucionan constantemente para distribuir malware de forma sigilosa y efectiva.
Los paquetes en cuestión, llamados colortoolsv2 y mimelib2 , fueron subidos a npm en julio de 2025 y ya han sido retirados. Aunque tuvieron pocas descargas (7 y 1 respectivamente), su impacto es significativo.
"Los dos paquetes npm abusaron de los contratos inteligentes para ocultar comandos maliciosos que instalaron malware de descarga en los sistemas comprometidos".
— Lucija Valentić, investigadora de ReversingLabs
¿Cómo operan estos paquetes maliciosos?
Cuando alguno de estos paquetes es utilizado o incluido en otro proyecto, se activa un comportamiento malicioso que descarga y ejecuta una carga útil desde un servidor controlado por el atacante. Lo innovador es que las URL que alojan esta carga útil se preparan mediante contratos inteligentes de Ethereum, una técnica similar a la conocida como EtherHiding , que dificulta la detección tradicional de malware.
Conexión con GitHub y campaña más amplia
La investigación reveló que estos paquetes están vinculados a una red de repositorios en GitHub que se presentan como bots de comercio para Solana, diseñados para ejecutar transacciones automáticas basadas en datos en tiempo real de la cadena de bloques. Sin embargo, estas cuentas y repositorios ya no están disponibles.
Se sospecha que forman parte de una oferta de distribución como servicio (DaaS) llamada Stargazers Ghost Network , que utiliza cuentas falsas para inflar artificialmente la popularidad de repositorios maliciosos mediante acciones como bifurcar, vigilar y confirmar cambios en el código.
Entre los repositorios afectados se encuentran proyectos con nombres como ethereum-mev-bot-v2 , arbitrage-bot y hyperliquid-trading-bot , lo que indica que los desarrolladores y usuarios de criptomonedas son el objetivo principal de esta campaña que combina ingeniería social y engaño.
Recomendaciones para desarrollo
Lucija Valentić enfatiza la importancia de que los desarrolladores evalúen cuidadosamente cada biblioteca antes de integrarla en sus proyectos. Esto implica no solo revisar las métricas superficiales como número de descargas o confirmaciones, sino también investigar a fondo tanto el código como los mantenedores para asegurarse de que sean confiables.
"Es fundamental que los desarrolladores evalúen cada biblioteca que consideren implementar antes de decidir incluirla en su ciclo de desarrollo".
— Lucija Valentić, ReversingLabs
Conclusión
Esta amenaza pone en evidencia la necesidad de reforzar la seguridad en el ecosistema de desarrollo de software para criptomonedas, especialmente en la gestión de dependencias y la revisión de código abierto. Mantenerse alerta y aplicar buenas prácticas es clave para evitar caer en trampas cada vez más sofisticadas.
Mantente informado y protege tus proyectos. La seguridad es responsabilidad de todos.
Comentarios
Publicar un comentario