Redazione RHC : 3 agosto 2025 11:31
Investigadores han identificado una nueva amenaza en el ecosistema npm: un paquete malicioso generado por IA llamado @kodane/patch-manager, diseñado para robar criptomonedas. Presentado como una biblioteca para el «control avanzado de licencias y optimización del registro para aplicaciones Node.js de alto rendimiento», fue subido por el usuario Kodane el 28 de julio de 2025 y descargado más de 1500 veces antes de ser eliminado del registro público.
Según Safety, empresa especializada en la protección de la cadena de suministro de software, la actividad maliciosa se integra directamente en el código fuente y se disfraza de «vaciado sigiloso avanzado de la cartera». La infección se produce en la fase posterior a la instalación, donde el script se ejecuta automáticamente inmediatamente después de la instalación del paquete, lo cual es especialmente peligroso en procesos de CI/CD opacos, donde las dependencias se actualizan sin intervención humana. Por lo tanto, el sistema puede verse comprometido sin ejecutar manualmente el código.
El componente de malware crea un identificador único de máquina y lo transmite al servidor de comandos sweeper-monitor-production.up.railway.app. El servidor registra los hosts comprometidos; al menos dos estaban registrados en el momento del análisis. El script distribuye la carga útil a directorios ocultos en sistemas Windows, Linux y macOS, lo que dificulta su detección.
A continuación, se escanea el dispositivo en busca de monederos de criptomonedas. Si se detecta un archivo de monedero local, el drenador retira automáticamente todos los fondos a una dirección predefinida en la blockchain de Solana. El mecanismo funciona de forma autónoma y no requiere la interacción del usuario, lo que hace que el ataque sea especialmente efectivo.
De particular interés es que el paquete parece haber sido generado parcial o totalmente mediante el chatbot Claude de Anthropic. Esto se evidencia por las siguientes señales reveladoras: emojis en los registros, comentarios excesivamente detallados y bien estructurados en el código, numerosos mensajes de consola autoexplicativos y un archivo README con el formato de las plantillas típicas de Claude.
Además, los cambios de código suelen estar marcados con la palabra «Mejorado», un patrón de compilación consolidado para Claude. Según los analistas, el ataque pone de relieve el creciente riesgo de usar redes neuronales para crear código malicioso, y no cualquier código, sino código cuidadosamente elaborado, plausible y, a menudo, aparentemente «útil». Esto complica la tarea de los equipos de seguridad y los desarrolladores de soporte: una amenaza puede hacerse pasar por una biblioteca legítima, superar las pruebas y entrar en producción sin signos evidentes de malicia.
El 31 de agosto de 2025, el vuelo AAB53G, operado por un Dassault Falcon 900LX con matrícula OO-GPE y con la presidenta de la Comisión Europea, Ursula von der Leyen, despegó de Varsovia y aterrizó...
La reciente confirmación por parte de Zscaler de una filtración de datos resultante de un ataque a la cadena de suministro constituye un caso práctico sobre la evolución de las amenazas contra eco...
Se ha descubierto una falla crítica de día cero, clasificada como CVE-2025-6543, en los sistemas Citrix NetScaler. Esta vulnerabilidad ha sido explotada activamente por hackers maliciosos desde mayo...
Una falla de seguridad en las apps de mensajería de WhatsApp para iOS y macOS de Apple ha sido corregida, según informó la compañía, tras ser probablemente explotada ampliamente junto con una vul...
NetScaler ha alertado a los administradores sobre tres nuevas vulnerabilidades en NetScaler ADC y NetScaler Gateway, una de las cuales ya se está utilizando en ataques activos. Hay actualizaciones di...