### Ciberataque vinculado a Corea del Norte utiliza paquetes npm falsos para exfiltrar datos

#### Introducción

En los últimos días, investigadores de JFrog han identificado una nueva campaña de distribución de malware a través del ecosistema npm, asociada a actores de amenazas relacionados con Corea del Norte. La operación consiste en la publicación de paquetes maliciosos que suplantan herramientas legítimas de Rollup, una solución ampliamente utilizada en la cadena de suministro de desarrollo JavaScript. El objetivo principal es facilitar el acceso remoto no autorizado y la exfiltración de datos sensibles de los entornos de desarrollo y despliegue.

#### Contexto del Incidente

El ataque se centra en el ecosistema npm, el mayor repositorio de paquetes JavaScript, que es frecuentemente objeto de campañas de supply chain. En esta ocasión, los paquetes maliciosos identificados son `rollup-packages-polyfill-core` y `rollup-runtime-polyfill-core`. Ambos buscan suplantar al legítimo `rollup-plugin-polyfill-node`, replicando no solo el nombre, sino también la descripción, metadata del repositorio y otros elementos identificativos. Esta táctica aumenta el riesgo de que desarrolladores y DevOps los integren inadvertidamente en sus proyectos, comprometiendo la seguridad de la cadena de suministro.

#### Detalles Técnicos

**Vulnerabilidades y CVEs:**
Si bien no se ha asignado aún un CVE específico a esta campaña, la amenaza responde a la tipología «Typosquatting» y «Dependency Confusion», ambas reconocidas por MITRE ATT&CK bajo las técnicas T1195.002 (Supply Chain Compromise: Compromise Software Dependencies & Development Tools) y T1555 (Credentials from Password Stores).

**Vectores de ataque:**
El vector principal consiste en la publicación de paquetes npm maliciosos que, al ser instalados, ejecutan scripts postinstall capaces de descargar y ejecutar payloads desde servidores remotos controlados por los atacantes. Estos payloads permiten la implantación de puertas traseras (backdoors) y la recogida de información sensible, como variables de entorno, claves API y archivos de configuración.

**TTPs y IoC:**
– **TTPs:** Uso de scripts ofuscados en JavaScript, persistencia mediante cron jobs y tareas programadas, comunicación cifrada con C2 (Command & Control).
– **IoC:** URLs sospechosas en dominios no relacionados con el proyecto original de Rollup, hashes SHA256 de los paquetes maliciosos, nombres de archivos y rutas inusuales en directorios npm cache y node_modules.

**Herramientas y frameworks:**
Si bien no se ha detectado el uso explícito de frameworks como Metasploit o Cobalt Strike en esta campaña, el modus operandi es compatible con el despliegue de herramientas personalizadas para la exfiltración de datos y el control remoto de sistemas comprometidos.

#### Impacto y Riesgos

La inclusión de estos paquetes en proyectos productivos puede resultar en la exposición de información confidencial, robo de credenciales y la implantación de puertas traseras persistentes. Organizaciones que emplean procesos de integración y despliegue continuo (CI/CD) automatizados son especialmente vulnerables, dado que la ejecución de scripts npm es frecuente y puede pasar inadvertida. Según estimaciones de la firma de seguridad JFrog, más de 1.500 descargas se habrían producido antes de la retirada de los paquetes, aunque se desconoce el alcance real del compromiso.

A nivel de cumplimiento normativo, una brecha de este tipo puede conllevar sanciones significativas bajo el Reglamento General de Protección de Datos (GDPR) y la Directiva NIS2, especialmente si implica la fuga de datos personales o información crítica de infraestructuras esenciales.

#### Medidas de Mitigación y Recomendaciones

– **Auditoría de dependencias:** Utilizar herramientas como npm audit, Snyk o JFrog Xray para identificar paquetes sospechosos o vulnerables.
– **Bloqueo de scripts postinstall:** Configurar el entorno de despliegue para impedir la ejecución automática de scripts desconocidos.
– **Verificación de integridad:** Comparar los hashes y firmas de los paquetes instalados con los repositorios oficiales.
– **Restricción de fuentes:** Limitar la instalación de dependencias a repositorios internos o de confianza.
– **Formación y concienciación:** Capacitar a los equipos de desarrollo y DevOps sobre los riesgos de la cadena de suministro e impulsar buenas prácticas de gestión de dependencias.

#### Opinión de Expertos

Especialistas en ciberseguridad como Daniel García, CISO de una multinacional tecnológica, advierten: “La sofisticación de estos ataques pone de manifiesto la necesidad de controles más estrictos en la gestión de dependencias. La confianza ciega en el ecosistema npm es un riesgo inasumible para organizaciones que manejan activos críticos”.

Por su parte, Marta Ruiz, analista de amenazas, destaca que “los actores norcoreanos han perfeccionado su capacidad de camuflaje, utilizando técnicas de ingeniería social y suplantación digital para maximizar el alcance e impacto de sus campañas”.

#### Implicaciones para Empresas y Usuarios

Las empresas deben revisar de inmediato sus procesos de desarrollo y despliegue, asegurando que no existen dependencias contaminadas en sus proyectos. Los desarrolladores individuales también están en riesgo, ya que la adopción de paquetes populares es una práctica extendida y muchas veces automatizada.

El incidente pone de relieve la importancia de la seguridad en la cadena de suministro y la necesidad de adoptar una postura de “Zero Trust” aplicada al desarrollo de software, así como la obligación legal de notificar incidentes bajo la NIS2 en caso de afectación a servicios esenciales o datos personales.

#### Conclusiones

Este nuevo episodio de ataques a la cadena de suministro, orquestado por actores vinculados a Corea del Norte, demuestra la sofisticación y persistencia de las amenazas que afectan al ecosistema npm. La capacidad de suplantar paquetes legítimos y camuflar acciones maliciosas en procesos aparentemente rutinarios exige una revisión profunda de las políticas de seguridad en el ciclo de vida del software. La vigilancia continua, la adopción de herramientas especializadas y la formación son imprescindibles para minimizar la superficie de exposición ante este tipo de amenazas.

(Fuente: feeds.feedburner.com)