{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Se han comprometido 600 paquetes de NPM utilizando el gusano Shai-Hulud","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha registrado un segundo ataque a paquetes en el repositorio de NPM, llevado a cabo con una modificaci\u00f3n del gusano autorreplicante Shai-Hulud, que inyecta software malicioso en las dependencias. Como resultado del ataque, se han publicado versiones maliciosas de 605 paquetes, que suman m\u00e1s de 100 millones de descargas. <\/p>\n
Para llevar a cabo el ataque, los delincuentes interceptaron mediante phishing los par\u00e1metros de la cuenta del mantenedor de uno de los paquetes populares, utilizado como dependencia por un gran n\u00famero de paquetes. Aprovechando la cuenta capturada, los atacantes publicaron una nueva versi\u00f3n del paquete, que inclu\u00eda c\u00f3digo para activar el gusano al instalar el paquete afectado como parte de las dependencias. El gusano lanzado busca credenciales en el entorno actual, cargando y ejecutando la utilidad TruffleHog. <\/p>\n
En caso de detectar un token de conexi\u00f3n al directorio de NPM, el gusano publica autom\u00e1ticamente nuevas versiones maliciosas para los paquetes desarrollados en el entorno actual. De esta manera, toda la cadena de dependencias se ve afectada. Adem\u00e1s del token de NPM, el gusano guarda claves de acceso a GitHub y servicios en la nube AWS, Azure y GCP (Google Cloud Platform), as\u00ed como variables de entorno y otros datos sensibles que el esc\u00e1ner TruffleHog puede descubrir. <\/p>\n
Los datos confidenciales encontrados en el sistema se publican en GitHub mediante la creaci\u00f3n de repositorios con nombres aleatorios (por ejemplo, «qzx15djl71alh6p80h») y la frase «Sha1-Hulud: The Second Coming» en la descripci\u00f3n, as\u00ed como en formato codificado en los registros de GitHub Actions. En el repositorio creado se colocar\u00e1 un archivo en formato JSON (por ejemplo, jsonactionsSecrets.json o contents.json), que contendr\u00e1 una cadena con informaci\u00f3n sobre el sistema codificada con el m\u00e9todo base64, variables de entorno y datos capturados. Para transmitir informaci\u00f3n desde los sistemas de integraci\u00f3n continua basados en GitHub, el gusano crea un controlador de GitHub Actions llamado «.github\/workflows\/formatter_123456789.yml» y configura un runner llamado SHA1HULUD. <\/p>\n
Las diferencias con un ataque similar en septiembre radican en un m\u00e9todo diferente de inyecci\u00f3n de c\u00f3digo malicioso en el paquete. En los lanzamientos maliciosos generados por el gusano se declara la implementaci\u00f3n de soporte para la plataforma JavaScript Bun. En el archivo package.json, en la secci\u00f3n «preinstall», que define los scripts que se ejecutan antes del inicio de la instalaci\u00f3n, se a\u00f1ade el comando «node setup_bun.js».
<\/center> <\/p>\n
En el archivo «setup_bun.js» se incluye c\u00f3digo para ejecutar un script ofuscado llamado «bun_environment.js», que contiene el c\u00f3digo del gusano. Para su posterior distribuci\u00f3n, el gusano busca el c\u00f3digo de los paquetes, modifica el archivo package.json (aumentando el n\u00famero de versi\u00f3n e incluyendo una llamada a setup_bun.js), a\u00f1ade los archivos setup_bun.js y bun_environment.js, vuelve a empaquetar el paquete y ejecuta el comando «npm publish» para publicar la nueva versi\u00f3n. <\/p>\n
![\"Se](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n