Detectan tres paquetes npm maliciosos que distribuyen NodeCordRAT, un malware nunca antes documentado
## Introducción
En noviembre de 2025, investigadores de ciberseguridad identificaron y reportaron la presencia de tres paquetes maliciosos en el repositorio npm destinados a distribuir una nueva amenaza: NodeCordRAT, un troyano de acceso remoto (RAT) hasta ahora no documentado. Dicha campaña representa un ejemplo más de cómo los ecosistemas de software de código abierto, en particular npm, continúan siendo un vector atractivo para la distribución de malware dirigido a desarrolladores y empresas tecnológicas.
## Contexto del Incidente
Los paquetes maliciosos en cuestión —`bitcoin-main-lib`, `bitcoin-lib-js` y `bip40`— fueron subidos por el usuario “wenmoonx”. Antes de ser eliminados, alcanzaron un total combinado de 3.463 descargas, con `bitcoin-main-lib` como el más popular (2.300 descargas). El uso de nombres relacionados con criptomonedas es una estrategia habitual para atraer a desarrolladores que buscan bibliotecas legítimas para la integración de funciones blockchain o Bitcoin.
El incidente se enmarca en la tendencia creciente de ataques a la cadena de suministro de software, donde actores maliciosos aprovechan repositorios públicos para infiltrar código dañino en proyectos legítimos, con potencial de afectar a miles de organizaciones en cascada.
## Detalles Técnicos
### Identificadores y vectores de ataque
Aunque, hasta la fecha de publicación, no existe un CVE asignado para NodeCordRAT, los paquetes fueron catalogados como maliciosos en diversas plataformas de inteligencia de amenazas y han sido reportados en bases como VirusTotal y GitHub Security Advisories. Los vectores de ataque explotan la confianza inherente en los paquetes npm y la falta de auditoría previa a su integración en proyectos.
NodeCordRAT se distribuye mediante scripts obfuscados presentes en los paquetes, que, al ser instalados, ejecutan código JavaScript malicioso aprovechando los hooks de instalación (`postinstall`). Esta táctica está alineada con la técnica T1059 (Command and Scripting Interpreter) del marco MITRE ATT&CK y puede incluir persistencia mediante T1547 (Boot or Logon Autostart Execution).
### Funcionalidad del malware
NodeCordRAT es capaz de:
– Robar credenciales y tokens de Discord, navegadores y aplicaciones de criptomonedas.
– Ejecutar comandos remotos arbitrarios.
– Exfiltrar información sensible de la máquina comprometida.
– Descargar y ejecutar payloads adicionales.
El canal de comunicación C2 identificado utiliza WebSockets y HTTP(S), con direcciones IP y dominios asociados recogidos como IoC (indicadores de compromiso) en informes de firmas de seguridad.
### Herramientas y frameworks
No se ha detectado uso directo de frameworks como Metasploit o Cobalt Strike en la carga inicial, pero el diseño modular de NodeCordRAT permite la integración de complementos, lo que amplía el abanico de acciones post-explotación. Se han observado intentos de evasión mediante técnicas de ofuscación y empaquetado.
## Impacto y Riesgos
El impacto potencial de NodeCordRAT es elevado, especialmente en entornos de desarrollo y CI/CD, donde la ejecución de dependencias npm puede automatizarse y afectar a múltiples sistemas en cadena. Los riesgos incluyen:
– Robo de credenciales corporativas y de acceso a servicios críticos.
– Compromiso de infraestructuras de desarrollo y despliegue.
– Propagación lateral dentro de redes corporativas.
– Pérdida de propiedad intelectual y exposición de información sensible.
Si bien el número de descargas no es masivo en comparación con otros incidentes (por ejemplo, la campaña `event-stream`), la naturaleza sigilosa y modular de NodeCordRAT incrementa su peligrosidad.
## Medidas de Mitigación y Recomendaciones
Para los equipos de seguridad y operaciones, se recomienda:
– Auditoría inmediata de dependencias npm, en particular la búsqueda de los paquetes: `bitcoin-main-lib`, `bitcoin-lib-js` y `bip40`.
– Implementación de soluciones de análisis de comportamiento en entornos de desarrollo para detectar ejecuciones sospechosas.
– Aplicación de políticas de restricción de ejecución de scripts post-instalación en pipelines CI/CD.
– Monitoreo de conexiones salientes hacia los IoC asociados con NodeCordRAT.
– Refuerzo de controles de acceso y autenticación multifactor en sistemas críticos.
– Revisión y actualización de políticas de gestión de dependencias siguiendo normativas como NIS2 y GDPR, especialmente en lo relativo a gestión de terceros y respuesta a incidentes.
## Opinión de Expertos
Especialistas en seguridad de la cadena de suministro, como los del SANS Institute, advierten que el abuso de npm y otros repositorios públicos seguirá aumentando mientras no se adopten controles más estrictos de validación y firma de paquetes. El caso NodeCordRAT demuestra la necesidad de combinar análisis automatizados con revisiones manuales y políticas de “zero trust” en la adquisición de componentes de software.
Desde el punto de vista legal, la notificación temprana a las víctimas y la colaboración con las autoridades se consideran imprescindibles para cumplir con la GDPR, especialmente en lo relativo a la protección de datos personales potencialmente expuestos.
## Implicaciones para Empresas y Usuarios
El incidente subraya la importancia de la higiene en la cadena de suministro de software. Empresas tecnológicas y startups, dependientes de ecosistemas como npm, deben revisar sus flujos de integración y despliegue, así como formar a sus desarrolladores en buenas prácticas de ciberseguridad.
Para los usuarios finales, el impacto directo es limitado, pero el compromiso de software de terceros puede traducirse en cadenas de infección que alcancen productos comerciales y servicios SaaS.
## Conclusiones
NodeCordRAT es un recordatorio de la sofisticación creciente de las amenazas a la cadena de suministro y de la necesidad de una vigilancia continua sobre los repositorios de código abierto. La colaboración entre la comunidad de seguridad, los proveedores de repositorios y los desarrolladores es clave para mitigar estos riesgos y evitar brechas de seguridad con repercusiones legales y económicas significativas.
(Fuente: feeds.feedburner.com)