Graphalgo

Nombres Alternativos / Aliases

• Lazarus npm/PyPI Supply Chain Campaign
• Veltrix Capital Recruitment Campaign
• North Korea Developer Targeting Operation
• Jade Sleet Package Registry Attack
• Token-based RAT Distribution Campaign

Fecha de Detección / Actividad

• Período de Actividad Observado: Activa desde mayo 2025 hasta la fecha de divulgación (febrero 2026)
• Fecha de Divulgación Pública: 12 de febrero de 2026
• Estado: Activa, con capacidad de crecimiento mediante publicación de nuevos paquetes maliciosos

Actor de Amenaza (Atribución)

• Atribución: Grupo Lazarus (patrocinado por Corea del Norte)
• Tipo de Actor: Estado-nación (APT) con motivaciones financieras y de espionaje
• Sophistication: Alta, con desarrollo modular, mecanismos de autenticación C2 únicos y construcción paciente de infraestructura de confianza
• Motivación: Robo de criptomonedas, recolección de credenciales y acceso a sistemas de desarrolladores del sector blockchain

Resumen Ejecutivo

Graphalgo es una campaña sofisticada de cadena de suministro de software orquestada por el grupo Lazarus, dirigida específicamente a desarrolladores de los ecosistemas blockchain y criptomonedas. La operación utiliza un elaborado señuelo de reclutamiento laboral, creando una empresa ficticia (Veltrix Capital) con presencia digital completa, incluyendo dominio propio y organización GitHub con repositorios de proyectos aparentemente legítimos. Los atacantes publicaron más de 20 paquetes maliciosos en los repositorios npm y PyPI, diseñados para ser instalados como dependencias cuando los desarrolladores, engañados por falsas ofertas de trabajo, ejecutan los proyectos de "prueba técnica". Una característica distintiva de la campaña es su mecanismo de comando y control basado en tokens, previamente observado en operaciones del subgrupo Jade Sleet, que garantiza que solo sistemas infectados y registrados puedan comunicarse con los servidores C2. El payload final es un RAT (troyano de acceso remoto) modular con capacidades completas de control del sistema y, crucialmente, la capacidad de detectar la presencia de la extensión MetaMask, evidenciando el enfoque en el robo de criptomonedas. La publicación de versiones iniciales no maliciosas del paquete bigmathutils, que acumuló más de 10,000 descargas antes de la actualización maliciosa, demuestra una estrategia de construcción de confianza y reputación en los repositorios públicos.

Vectores de Ataque

• Ofertas de Trabajo Fraudulentas (Vector Primario): Publicación de falsas oportunidades laborales en LinkedIn, Reddit y Facebook Groups para el sector blockchain
• Contacto Directo por Reclutadores Falsos: Mensajes personalizados en LinkedIn de supuestos reclutadores de Veltrix Capital
• Repositorios GitHub Señuelo: Organización GitHub con proyectos de Python/JavaScript aparentemente legítimos para "pruebas técnicas"
• Dependencias Maliciosas en npm/PyPI: Paquetes envenenados (más de 20) que actúan como mecanismo de entrega del RAT
• Actualización por Versionado Engañoso: Paquetes con versiones iniciales benignas seguidas de actualizaciones maliciosas para acumular descargas y confianza

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Compromiso de Cadena de Suministro (T1195.002)	Publicación de paquetes maliciosos en repositorios públicos npm y PyPI
Ejecución (TA0002)	Intérprete de Comandos y Scripting (T1059)	Ejecución de código JavaScript/Node.js y Python durante la instalación de dependencias
Persistencia (TA0003)	Cuenta Válida (T1078)	Mantenimiento de cuentas de desarrollador falsas en plataformas sociales y GitHub
Evasión de Defensas (TA0005)	Ofuscación (T1027)	Malware multicapa y cifrado para evadir detección
Descubrimiento (TA0007)	Descubrimiento de Archivos y Directorios (T1083)	Enumeración de sistema de archivos y procesos en el sistema víctima
Descubrimiento (TA0007)	Descubrimiento de Software de Seguridad (T1518.001)	Detección específica de extensión MetaMask en el navegador
Comando y Control (TA0011)	Protocolo de Capa de Aplicación (T1071)	Comunicación C2 a través de mecanismo token-based con servidor externo
Comando y Control (TA0011)	Canal Cifrado (T1573)	Comunicación protegida con autenticación token-based
Exfiltración (TA0010)	Exfiltración sobre Canal C2 (T1041)	Envío de datos robados a través del mismo canal de comando y control

Flujo de Ataque (Kill Chain)

1. Preparación de Infraestructura: Creación de empresa ficticia Veltrix Capital, dominio web, organización GitHub y perfiles falsos en LinkedIn
2. Desarrollo de Paquetes Maliciosos: Publicación de paquetes en npm y PyPI, algunos con versiones iniciales benignas para acumular reputación
3. Ingeniería Social y Contacto: Acercamiento a desarrolladores a través de ofertas laborales falsas en plataformas profesionales y foros
4. Entrega del Señuelo: Dirección a repositorios GitHub con proyectos de "prueba técnica" que incluyen dependencias maliciosas
5. Infección Inicial: Al ejecutar npm install o pip install, se descarga e instala el paquete malicioso, activando el RAT
6. Registro y Tokenización: El sistema infectado envía datos a servidor C2, recibe token único de autenticación
7. Comando y Control: Establecimiento de comunicación persistente utilizando el token para todas las comunicaciones posteriores
8. Reconocimiento del Sistema: Enumeración de archivos, procesos y detección específica de MetaMask
9. Exfiltración y Control Remoto: Ejecución de comandos para robo de datos, subida/descarga de archivos y control del sistema

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Repositorios de Paquetes Públicos	npm (Node.js), PyPI (Python)	Distribución primaria de malware
Servidores C2	Servidores externos con mecanismo token-based	Gestión de bots, autenticación de víctimas, envío de comandos
Organización GitHub	Repositorios Veltrix Capital (ficticios)	Hospedaje de proyectos señuelo para pruebas técnicas
Redes Sociales y Foros	LinkedIn, Reddit, Facebook Groups	Plataformas de contacto con víctimas y difusión de ofertas falsas
Dominios Falsos	veltrix-capital[.]com (ejemplo)	Creación de legitimidad para la empresa ficticia

Objetivos y Sectores Atacados

• Objetivo Principal: Desarrolladores de software especializados en blockchain, criptomonedas y tecnologías financieras
• Objetivo Secundario: Acceso a billeteras de criptomonedas (especialmente MetaMask) para robo de activos digitales
• Sectores Prioritarios: Blockchain, exchanges de criptomonedas, empresas fintech, desarrollo DeFi
• Usuarios Objetivo: Profesionales con acceso a claves privadas, tokens y wallets de criptomonedas
• Distribución Geográfica: Global, con enfoque en regiones con alta concentración de desarrollo blockchain (EE.UU., Europa, Asia-Pacífico, Latinoamérica)

Impacto y Riesgo

• Nivel de Riesgo: Alto, dirigido específicamente a activos digitales de alto valor
• Impacto Financiero Directo: Pérdidas potencialmente millonarias por robo de criptomonedas
• Compromiso de Identidad Profesional: Credenciales de desarrolladores y acceso a repositorios privados de código
• Pérdida de Propiedad Intelectual: Código fuente, proyectos en desarrollo y secretos comerciales de empresas blockchain
• Erosión de Confianza en Ecosistemas Open Source: Socava la confianza en npm y PyPI como fuentes seguras de software
• Continuidad de Negocio: Potencial interrupción de operaciones en empresas comprometidas
• Carácter de la Amenaza: Representa evolución táctica hacia ataques precisos a la cadena de suministro de desarrolladores

Recomendaciones de Mitigación

• Verificación de Ofertas Laborales: Establecer procedimientos para verificar legitimidad de reclutadores y empresas antes de ejecutar código de pruebas técnicas
• Escaneo de Dependencias: Implementar herramientas SCA (Software Composition Analysis) que detecten paquetes sospechosos o recién publicados
• Repositorios Privados/Proxy: Utilizar repositorios internos como Nexus/Artifactory que actúen como proxy y cache de paquetes públicos con escaneo previo
• Aislamiento de Entornos de Desarrollo: Ejecutar código de fuentes no confiables en contenedores o VMs desechables
• Monitoreo de Tráfico C2: Detectar patrones de comunicación con servidores externos no categorizados, especialmente aquellos con mecanismos token-based
• Capacitación Específica: Formar a desarrolladores sobre tácticas de ingeniería social en reclutamiento falso
• Análisis de Comportamiento en Endpoints: Configurar EDR para detectar actividad anómala de procesos Node.js/Python (enumeración de sistema, acceso a datos de navegadores)

Herramientas de Detección

• SCA Tools (Software Composition Analysis): Para identificar dependencias maliciosas o sospechosas en proyectos
• EDR/NGAV: Detección de comportamientos anómalos de procesos JavaScript/Python
• SIEM con Correlación: Alertas sobre patrones de instalación de paquetes seguidos de comunicación C2
• Network Detection & Response (NDR): Identificación de tráfico C2 token-based y conexiones a dominios recién registrados
• Threat Intelligence Platforms: Integración de IOCs de paquetes maliciosos y dominios C2 conocidos

Referencias y Fuentes

• Informe ReversingLabs sobre campaña graphalgo (Karlo Zanki)
• Análisis técnico de paquetes maliciosos en npm y PyPI
• MITRE ATT&CK Framework para mapeo de TTPs
• Reportes sobre campañas Jade Sleet/TraderTraitor
• Investigaciones de JFrog sobre Bada Stealer y XPACK ATTACK

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-02-13	1.0	Fernando Vargas	Creación inicial basada en informe de ReversingLabs

Indicadores de Compromiso / IOC

• Paquetes npm maliciosos: graphalgo, graphorithm, graphstruct, graphlibcore, netstruct, graphnetworkx, terminalcolor256, graphkitx, graphchain, graphflux, graphorbit, graphnet, graphhub, terminal-kleur, graphrix, bignumx, bignumberx, bignumex, bigmathex, bigmathlib, bigmathutils, graphlink, bigmathix, graphflowx
• Paquetes PyPI maliciosos: graphalgo, graphex, graphlibx, graphdict, graphflux, graphnode, graphsync, bigpyx, bignum, bigmathex, bigmathix, bigmathutils

Etiquetas / Categorías

lazarus-group apt north-korea supply-chain-attack npm-security pypi-malware cryptocurrency-theft blockchain-targeting developer-targeting fake-recruitment veltrix-capital graphalgo remote-access-trojan token-based-c2 metaMask-theft software-supply-chain state-sponsored open-source-ecosystem