{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"El phishing ha permitido obtener el control de varios paquetes populares de NPM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha registrado un ataque de phishing en las bibliotecas JavaScript, durante el cual se envi\u00f3 un mensaje en nombre del servicio NPM, notificando la necesidad de confirmar su correo electr\u00f3nico. El ataque permiti\u00f3 a los delincuentes obtener tokens de NPM de uno de los grandes proyectos de JavaScript y lanzar actualizaciones con c\u00f3digo malicioso para cinco paquetes de NPM, sumando alrededor de 100 millones de descargas semanales. <\/p>\n
El mensaje enviado por el acompa\u00f1ante fue estilizado para parecerse a las notificaciones t\u00edpicas de NPM, enviadas desde la direcci\u00f3n \u00absupport@npmjs.org\u00bb, pero el dominio \u00abnpnjs.com\u00bb fue indicado como enlace en lugar de \u00abnpmjs.com\u00bb (la tercera letra fue \u00abn\u00bb en lugar de \u00abm\u00bb). Los atacantes aprovecharon un efecto psicol\u00f3gico, debido al cual el cerebro, anticipando el resultado esperado, no percibe distorsiones menores, como el reemplazo de letras por otras similares o el cambio en el orden de las letras de una palabra. Al hacer clic en el enlace, se abr\u00eda una copia completa del sitio npmjs.com (probablemente se configur\u00f3 un proxy que interceptaba el token de acceso).
<\/center> <\/p>\n
Durante el ataque se generaron nuevas versiones de los paquetes: <\/p>\n
A las versiones generadas se les a\u00f1adi\u00f3 c\u00f3digo malicioso para atacar a los usuarios que utilizan la plataforma Windows. Los cambios realizados cargaban la biblioteca node-gyp.dll, que contiene funcionalidades para la ejecuci\u00f3n remota de comandos en el sistema. <\/p>\n
El editor se dio cuenta de que hab\u00eda sido v\u00edctima de phishing aproximadamente una hora despu\u00e9s de recibir la primera queja sobre la publicaci\u00f3n de lanzamientos sospechosos. Inmediatamente revoc\u00f3 el token de acceso, cambi\u00f3 las contrase\u00f1as y marc\u00f3 las versiones problem\u00e1ticas como obsoletas para evitar su descarga por sistemas de compilaci\u00f3n automatizados y envi\u00f3 una solicitud para eliminar las versiones problem\u00e1ticas del repositorio al servicio de soporte de NPM. <\/p>\n
No se especifica cu\u00e1ntos usuarios lograron descargar las versiones maliciosas (por ejemplo, la versi\u00f3n maliciosa del paquete eslint-plugin-prettier permaneci\u00f3 en el repositorio durante aproximadamente dos d\u00edas). La semana pasada, el paquete eslint-config-prettier contabiliz\u00f3 30 millones de descargas y se utiliz\u00f3 como dependencia en 11,762 paquetes, el paquete eslint-plugin-prettier tuvo 21 millones de descargas (8,468 paquetes dependientes), synckit alcanz\u00f3 18 millones, @pkgr\/core 16 millones y napi-postinstall 10 millones. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"El](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n