Fernando.VH en 15:24 13 feb 2026

2026-02-13T15:24:44Z

← Revisión anterior		Revisión del 15:24 13 feb 2026
Línea 177:		Línea 177:
	== Etiquetas / Categorías ==		== Etiquetas / Categorías ==
	lazarus-group apt north-korea supply-chain-attack npm-security pypi-malware cryptocurrency-theft blockchain-targeting developer-targeting fake-recruitment veltrix-capital graphalgo remote-access-trojan token-based-c2 metaMask-theft software-supply-chain state-sponsored open-source-ecosystem		lazarus-group apt north-korea supply-chain-attack npm-security pypi-malware cryptocurrency-theft blockchain-targeting developer-targeting fake-recruitment veltrix-capital graphalgo remote-access-trojan token-based-c2 metaMask-theft software-supply-chain state-sponsored open-source-ecosystem

			[[Category:CAMPAÑAS\|CAMPAÑAS]]

Fernando.VH: Descripción de campaña: Graphalgo

2026-02-13T15:24:29Z

Descripción de campaña: Graphalgo

Página nueva

== Nombres Alternativos / Aliases ==

* Lazarus npm/PyPI Supply Chain Campaign
* Veltrix Capital Recruitment Campaign
* North Korea Developer Targeting Operation
* Jade Sleet Package Registry Attack
* Token-based RAT Distribution Campaign

== Fecha de Detección / Actividad ==

* Período de Actividad Observado: Activa desde mayo 2025 hasta la fecha de divulgación (febrero 2026)
* Fecha de Divulgación Pública: 12 de febrero de 2026
* Estado: Activa, con capacidad de crecimiento mediante publicación de nuevos paquetes maliciosos

== Actor de Amenaza (Atribución) ==

* Atribución: Grupo Lazarus (patrocinado por Corea del Norte)
* Tipo de Actor: Estado-nación (APT) con motivaciones financieras y de espionaje
* Sophistication: Alta, con desarrollo modular, mecanismos de autenticación C2 únicos y construcción paciente de infraestructura de confianza
* Motivación: Robo de criptomonedas, recolección de credenciales y acceso a sistemas de desarrolladores del sector blockchain

== Resumen Ejecutivo ==
Graphalgo es una campaña sofisticada de cadena de suministro de software orquestada por el grupo Lazarus, dirigida específicamente a desarrolladores de los ecosistemas blockchain y criptomonedas. La operación utiliza un elaborado señuelo de reclutamiento laboral, creando una empresa ficticia (Veltrix Capital) con presencia digital completa, incluyendo dominio propio y organización GitHub con repositorios de proyectos aparentemente legítimos. Los atacantes publicaron más de 20 paquetes maliciosos en los repositorios npm y PyPI, diseñados para ser instalados como dependencias cuando los desarrolladores, engañados por falsas ofertas de trabajo, ejecutan los proyectos de "prueba técnica". Una característica distintiva de la campaña es su mecanismo de comando y control basado en tokens, previamente observado en operaciones del subgrupo Jade Sleet, que garantiza que solo sistemas infectados y registrados puedan comunicarse con los servidores C2. El payload final es un RAT (troyano de acceso remoto) modular con capacidades completas de control del sistema y, crucialmente, la capacidad de detectar la presencia de la extensión MetaMask, evidenciando el enfoque en el robo de criptomonedas. La publicación de versiones iniciales no maliciosas del paquete bigmathutils, que acumuló más de 10,000 descargas antes de la actualización maliciosa, demuestra una estrategia de construcción de confianza y reputación en los repositorios públicos.

== Vectores de Ataque ==

* Ofertas de Trabajo Fraudulentas (Vector Primario): Publicación de falsas oportunidades laborales en LinkedIn, Reddit y Facebook Groups para el sector blockchain
* Contacto Directo por Reclutadores Falsos: Mensajes personalizados en LinkedIn de supuestos reclutadores de Veltrix Capital
* Repositorios GitHub Señuelo: Organización GitHub con proyectos de Python/JavaScript aparentemente legítimos para "pruebas técnicas"
* Dependencias Maliciosas en npm/PyPI: Paquetes envenenados (más de 20) que actúan como mecanismo de entrega del RAT
* Actualización por Versionado Engañoso: Paquetes con versiones iniciales benignas seguidas de actualizaciones maliciosas para acumular descargas y confianza

== Técnicas, Tácticas y Procedimientos (TTPs) ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica
!Descripción / Implementación
|-
|Acceso Inicial (TA0001)
|Compromiso de Cadena de Suministro (T1195.002)
|Publicación de paquetes maliciosos en repositorios públicos npm y PyPI
|-
|Ejecución (TA0002)
|Intérprete de Comandos y Scripting (T1059)
|Ejecución de código JavaScript/Node.js y Python durante la instalación de dependencias
|-
|Persistencia (TA0003)
|Cuenta Válida (T1078)
|Mantenimiento de cuentas de desarrollador falsas en plataformas sociales y GitHub
|-
|Evasión de Defensas (TA0005)
|Ofuscación (T1027)
|Malware multicapa y cifrado para evadir detección
|-
|Descubrimiento (TA0007)
|Descubrimiento de Archivos y Directorios (T1083)
|Enumeración de sistema de archivos y procesos en el sistema víctima
|-
|Descubrimiento (TA0007)
|Descubrimiento de Software de Seguridad (T1518.001)
|Detección específica de extensión MetaMask en el navegador
|-
|Comando y Control (TA0011)
|Protocolo de Capa de Aplicación (T1071)
|Comunicación C2 a través de mecanismo token-based con servidor externo
|-
|Comando y Control (TA0011)
|Canal Cifrado (T1573)
|Comunicación protegida con autenticación token-based
|-
|Exfiltración (TA0010)
|Exfiltración sobre Canal C2 (T1041)
|Envío de datos robados a través del mismo canal de comando y control
|}

== Flujo de Ataque (Kill Chain) ==

# Preparación de Infraestructura: Creación de empresa ficticia Veltrix Capital, dominio web, organización GitHub y perfiles falsos en LinkedIn
# Desarrollo de Paquetes Maliciosos: Publicación de paquetes en npm y PyPI, algunos con versiones iniciales benignas para acumular reputación
# Ingeniería Social y Contacto: Acercamiento a desarrolladores a través de ofertas laborales falsas en plataformas profesionales y foros
# Entrega del Señuelo: Dirección a repositorios GitHub con proyectos de "prueba técnica" que incluyen dependencias maliciosas
# Infección Inicial: Al ejecutar <code>npm install</code> o <code>pip install</code>, se descarga e instala el paquete malicioso, activando el RAT
# Registro y Tokenización: El sistema infectado envía datos a servidor C2, recibe token único de autenticación
# Comando y Control: Establecimiento de comunicación persistente utilizando el token para todas las comunicaciones posteriores
# Reconocimiento del Sistema: Enumeración de archivos, procesos y detección específica de MetaMask
# Exfiltración y Control Remoto: Ejecución de comandos para robo de datos, subida/descarga de archivos y control del sistema

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Ejemplos / Características
!Propósito
|-
|Repositorios de Paquetes Públicos
|npm (Node.js), PyPI (Python)
|Distribución primaria de malware
|-
|Servidores C2
|Servidores externos con mecanismo token-based
|Gestión de bots, autenticación de víctimas, envío de comandos
|-
|Organización GitHub
|Repositorios Veltrix Capital (ficticios)
|Hospedaje de proyectos señuelo para pruebas técnicas
|-
|Redes Sociales y Foros
|LinkedIn, Reddit, Facebook Groups
|Plataformas de contacto con víctimas y difusión de ofertas falsas
|-
|Dominios Falsos
|veltrix-capital[.]com (ejemplo)
|Creación de legitimidad para la empresa ficticia
|}

== Objetivos y Sectores Atacados ==

* Objetivo Principal: Desarrolladores de software especializados en blockchain, criptomonedas y tecnologías financieras
* Objetivo Secundario: Acceso a billeteras de criptomonedas (especialmente MetaMask) para robo de activos digitales
* Sectores Prioritarios: Blockchain, exchanges de criptomonedas, empresas fintech, desarrollo DeFi
* Usuarios Objetivo: Profesionales con acceso a claves privadas, tokens y wallets de criptomonedas
* Distribución Geográfica: Global, con enfoque en regiones con alta concentración de desarrollo blockchain (EE.UU., Europa, Asia-Pacífico, Latinoamérica)

== Impacto y Riesgo ==

* Nivel de Riesgo: Alto, dirigido específicamente a activos digitales de alto valor
* Impacto Financiero Directo: Pérdidas potencialmente millonarias por robo de criptomonedas
* Compromiso de Identidad Profesional: Credenciales de desarrolladores y acceso a repositorios privados de código
* Pérdida de Propiedad Intelectual: Código fuente, proyectos en desarrollo y secretos comerciales de empresas blockchain
* Erosión de Confianza en Ecosistemas Open Source: Socava la confianza en npm y PyPI como fuentes seguras de software
* Continuidad de Negocio: Potencial interrupción de operaciones en empresas comprometidas
* Carácter de la Amenaza: Representa evolución táctica hacia ataques precisos a la cadena de suministro de desarrolladores

== Recomendaciones de Mitigación ==

* Verificación de Ofertas Laborales: Establecer procedimientos para verificar legitimidad de reclutadores y empresas antes de ejecutar código de pruebas técnicas
* Escaneo de Dependencias: Implementar herramientas SCA (Software Composition Analysis) que detecten paquetes sospechosos o recién publicados
* Repositorios Privados/Proxy: Utilizar repositorios internos como Nexus/Artifactory que actúen como proxy y cache de paquetes públicos con escaneo previo
* Aislamiento de Entornos de Desarrollo: Ejecutar código de fuentes no confiables en contenedores o VMs desechables
* Monitoreo de Tráfico C2: Detectar patrones de comunicación con servidores externos no categorizados, especialmente aquellos con mecanismos token-based
* Capacitación Específica: Formar a desarrolladores sobre tácticas de ingeniería social en reclutamiento falso
* Análisis de Comportamiento en Endpoints: Configurar EDR para detectar actividad anómala de procesos Node.js/Python (enumeración de sistema, acceso a datos de navegadores)

== Herramientas de Detección ==

* SCA Tools (Software Composition Analysis): Para identificar dependencias maliciosas o sospechosas en proyectos
* EDR/NGAV: Detección de comportamientos anómalos de procesos JavaScript/Python
* SIEM con Correlación: Alertas sobre patrones de instalación de paquetes seguidos de comunicación C2
* Network Detection & Response (NDR): Identificación de tráfico C2 token-based y conexiones a dominios recién registrados
* Threat Intelligence Platforms: Integración de IOCs de paquetes maliciosos y dominios C2 conocidos

== Referencias y Fuentes ==

* Informe ReversingLabs sobre campaña graphalgo (Karlo Zanki)
* Análisis técnico de paquetes maliciosos en npm y PyPI
* MITRE ATT&CK Framework para mapeo de TTPs
* Reportes sobre campañas Jade Sleet/TraderTraitor
* Investigaciones de JFrog sobre Bada Stealer y XPACK ATTACK

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-02-13
|1.0
|Fernando Vargas
|Creación inicial basada en informe de ReversingLabs
|}

== Indicadores de Compromiso / IOC ==

* Paquetes npm maliciosos: graphalgo, graphorithm, graphstruct, graphlibcore, netstruct, graphnetworkx, terminalcolor256, graphkitx, graphchain, graphflux, graphorbit, graphnet, graphhub, terminal-kleur, graphrix, bignumx, bignumberx, bignumex, bigmathex, bigmathlib, bigmathutils, graphlink, bigmathix, graphflowx
* Paquetes PyPI maliciosos: graphalgo, graphex, graphlibx, graphdict, graphflux, graphnode, graphsync, bigpyx, bignum, bigmathex, bigmathix, bigmathutils

== Etiquetas / Categorías ==
lazarus-group apt north-korea supply-chain-attack npm-security pypi-malware cryptocurrency-theft blockchain-targeting developer-targeting fake-recruitment veltrix-capital graphalgo remote-access-trojan token-based-c2 metaMask-theft software-supply-chain state-sponsored open-source-ecosystem

Graphalgo - Historial de revisiones

Fernando.VH en 15:24 13 feb 2026

Fernando.VH: Descripción de campaña: Graphalgo