Ver el código de «Node-ipc npm Supply Chain Attack Campaign»


node-ipc npm Supply Chain Attack Campaign es un ataque a la cadena de suministro de software descubierto el 14 de mayo de 2026, en el que tres versiones maliciosas del popular paquete npm node-ipc (<code>9.1.6</code>, <code>9.2.3</code> y <code>12.0.1</code>) fueron publicadas simultáneamente en el registro npm por una cuenta de mantenedor comprometida llamada atiertant (<code>a.tiertant@atlantis-software.net</code>). node-ipc es una biblioteca fundamental de comunicación entre procesos (IPC) para Node.js con más de 10 millones de descargas semanales, ampliamente utilizada en proyectos empresariales y entornos de desarrollo modernos. Las versiones comprometidas contienen una carga útil ofuscada idéntica de 80 KB (byte por byte en las tres versiones) inyectada como una Expresión de Función Invocada Inmediatamente (IIFE) al final del archivo <code>node-ipc.cjs</code> (el paquete CommonJS), después de la última línea legítima <code>module.exports</code>. A diferencia de ataques anteriores a la cadena de suministro que dependían de scripts <code>preinstall</code>, <code>install</code> o <code>postinstall</code> en <code>package.json</code> (fáciles de detectar), esta carga útil se ejecuta automáticamente en tiempo de ejecución cuando cualquier aplicación llama a <code>require('node-ipc')</code>, lo que la hace invisible para las herramientas de seguridad que solo escanean hooks de instalación. El malware realiza un reconocimiento exhaustivo del sistema, recopilando más de 90 categorías de credenciales incluyendo: credenciales de AWS, Azure, GCP, claves SSH, tokens de Kubernetes, configuraciones de GitHub CLI, ajustes de Claude AI y Kiro IDE, estado de Terraform, contraseñas de bases de datos (PostgreSQL, MySQL), historial de shell (bash, zsh, python, mysql), archivos de entorno (<code>.env</code>), credenciales de npm y mucho más. Los datos se empaquetan en un archivo TAR, se comprimen con GZIP y se exfiltran a través de dos canales independientes: (1) HTTPS POST al dominio de typosquatting <code>sh.azurestaticprovider[.]net</code> (diseñado para confundirse con infraestructura legítima de Azure), y (2) un sofisticado túnel DNS que sobrescribe el resolvedor del sistema con Google Public DNS (<code>8.8.8.8</code>/<code>1.1.1.1</code>) y luego redirige las consultas directamente al servidor C2 (<code>37.16.75.69</code>) en el puerto 53, evitando completamente los registros DNS corporativos y las herramientas SIEM tradicionales. La versión <code>12.0.1</code> incluye una puerta de selección de objetivo basada en SHA-256: calcula el hash del nombre del archivo principal del módulo y solo se activa si coincide con un valor codificado (ensamblado a partir de ocho fragmentos de tabla ofuscados), lo que sugiere un ataque dirigido a un proyecto o desarrollador específico. Las versiones <code>9.1.6</code> y <code>9.2.3</code> no tienen esta restricción y ejecutan la carga útil completa en cualquier sistema que las cargue. La publicación simultánea en tres versiones (dos líneas principales, 9.x y 12.x) fue una estrategia deliberada para maximizar el radio de explosión: los usuarios vinculados a <code>~9.1.x</code>, <code>~9.2.x</code>, <code>^9</code>, <code>^12</code> o <code>~12.0</code> recibieron automáticamente el paquete comprometido en su próxima instalación o actualización del archivo de bloqueo. La cuenta <code>atiertant</code> no tenía historial previo de publicación en node-ipc; la última versión legítima (<code>12.0.0</code>) fue publicada por el autor original RIAEvangelist (Brandon Nozaki Miller) el 12 de agosto de 2024, creando un lapso de 21 meses (un patrón recurrente en ataques a paquetes inactivos de alta descarga). El dominio <code>atlantis-software.net</code> fue abandonado y reregistrado el 10 de marzo de 2026, lo que sugiere un email takeover para restablecer la contraseña de npm. Este ataque es independiente del incidente <code>peacenotwar</code> de 2022 (versiones <code>10.1.1</code>/<code>10.1.2</code>), que fue un ataque destructivo con motivación geopolítica por parte del mantenedor original. El ataque de 2026 tiene una motivación puramente financiera (robo de credenciales) y es obra de un actor diferente.
----