{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"Un gusano autorreplicante se ha integrado en 42 paquetes de NPM de TanStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Como resultado de la compromisi\u00f3n del proceso de formaci\u00f3n de lanzamientos en base a GitHub Actions en el proyecto TanStack, un atacante logr\u00f3 publicar 84 versiones maliciosas en el repositorio NPM, abarcando 42 paquetes NPM del ecosistema de TanStack. Algunos de los paquetes comprometidos ten\u00edan m\u00e1s de 10 millones de descargas por semana. <\/p>\n
El acceso a la publicaci\u00f3n de lanzamientos fue obtenido debido a una configuraci\u00f3n incorrecta de pull_request_target \u00abPwn Request\u00bb en GitHub Actions (la especificaci\u00f3n de la m\u00e1scara en la configuraci\u00f3n llev\u00f3 a que se activara pull_request_target para solicitudes de extracci\u00f3n en forks externos), el envenenamiento de la cach\u00e9 de GitHub Actions a trav\u00e9s de un fork y la posibilidad de extraer el token OIDC de la memoria del proceso runner en ejecuci\u00f3n (Runner.Worker) a trav\u00e9s de la lectura del contenido \/proc\/\/mem. <\/p>\n
Los paquetes NPM con cambios maliciosos fueron publicados el 11 de mayo entre las 22:20 y las 22:26 (MSK), fueron detectados 20 minutos despu\u00e9s y bloqueados una hora y media m\u00e1s tarde. Para cada uno de los paquetes NPM afectados se lanzaron dos versiones maliciosas, en las que se integr\u00f3 el c\u00f3digo para activar el gusano mini-shai-hulud, que buscaba tokens y credenciales en el entorno actual. Si se encontraba un token de conexi\u00f3n al directorio NPM, el gusano publicaba autom\u00e1ticamente nuevos lanzamientos maliciosos para los paquetes en desarrollo en el entorno actual, afectando el \u00e1rbol de dependencias. De esta manera, m\u00e1s de 400 paquetes NPM que utilizaban paquetes de TanStack como dependencias fueron comprometidos. <\/p>\n
El gusano estaba alojado en el archivo router_init.js y se activaba al instalar manualmente el paquete afectado por el desarrollador o autom\u00e1ticamente en un entorno de integraci\u00f3n continua mediante los comandos \u00abnpm install\u00bb, \u00abpnpm install\u00bb o \u00abyarn install\u00bb. Tras ser activado, el gusano buscaba en el sistema tokens de NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp y Kubernetes K8s, as\u00ed como claves privadas SSH. Los datos encontrados se enviaban a los atacantes a trav\u00e9s de un mensajero descentralizado P2P getsession.org. <\/p>\n
El gusano estaba dise\u00f1ado para llevar a cabo acciones destructivas en caso de revocaci\u00f3n del token NPM interceptado \u2014 en el sistema se configuraba la ejecuci\u00f3n peri\u00f3dica de un script ~\/.local\/bin\/gh-token-monitor.sh, que cada 60 segundos verificaba la actividad del token a trav\u00e9s de una llamada a api.github.com\/user y, en caso de revocaci\u00f3n del token, ejecutaba el comando \u00abrm -rf ~\/\u00bb. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"