Investigadores de ciberseguridad han descubierto un paquete NuGet malicioso que se hace pasar por un kit de desarrollo de software C# para Sicoob, uno de los sistemas financieros cooperativos más grandes de Brasil, para desviar ID de clientes y certificados PFX.
Según Socket, las versiones 2.0.0 a 2.0.4 de «Sicoob.Sdk» contienen funcionalidad para filtrar información confidencial, incluidos los certificados PFX que se utilizan para autenticar empresas en la red bancaria de Sicoob con el fin de automatizar operaciones bancarias, como el procesamiento de pagos instantáneos y la generación de códigos QR Pix dinámicos. Se estima que el paquete se descargó casi 500 veces.
«Cuando un desarrollador crea una instancia de SicoobClient con una ID de cliente, una ruta de archivo PFX y una contraseña PFX, el paquete lee el archivo PFX del disco, codifica en Base64 su contenido y envía la ID de cliente suministrada, la contraseña PFX y los datos PFX codificados a un punto final Sentry de terceros codificado», dijo el investigador de seguridad Kirill Boychenko.
Además, el paquete está diseñado para capturar respuestas sin procesar de la API de Boleto a través de una ruta Sentry separada. Boleto es un método de pago en efectivo popular en Brasil para realizar compras en línea y fuera de línea. Esto puede potencialmente exponer detalles confidenciales de transacciones, estado de pago, montos, fechas de vencimiento, identificadores y datos del pagador o beneficiario.
Como resultado, los datos robados podrían abrir la puerta a riesgos graves, ya que el actor de amenazas puede abusar de ellos para hacerse pasar por la integración de la API bancaria Sicoob de la víctima, añadió Socket. Tras una divulgación responsable, NuGet bloqueó el paquete. El perfil detrás del paquete, llamado «sicoob», también ha enumerado otros 11 paquetes NuGet que en conjunto han acumulado alrededor de 6.000 descargas.
La compañía de seguridad de aplicaciones también dijo que el modo Google Search AI mostró el paquete como una biblioteca C# legítima para interactuar con las API bancarias de Sicoob, amplificando así el paquete malicioso para los desarrolladores desprevenidos que pueden estar buscándolo.
Otro aspecto importante del ataque es la falta de coincidencia entre el código fuente y el paquete entre el repositorio de GitHub vinculado y el artefacto distribuido a través de NuGet. Se sospecha que el repositorio de GitHub está diseñado para dar una apariencia de legitimidad a la operación manteniéndola limpia, mientras que la funcionalidad maliciosa de robo de datos se introduce sólo en el paquete cargado en el registro.
Es más, el compromiso del material de autenticación de la API de Sicoob también puede plantear riesgos indirectos para los usuarios finales, ya que podría filtrar datos financieros posteriores o permitir el abuso de pagos.
Se recomienda a las organizaciones que hayan instalado «Sicoob.Sdk» que eliminen inmediatamente el paquete, traten el material PFX como comprometido, reemplacen los certificados PFX expuestos, roten las contraseñas de PFX y cambien o deshabiliten las ID de los clientes afectados cuando corresponda. También se recomienda auditar la autenticación de Sicoob y los registros de API para detectar signos de actividad inusual.
El desarrollo coincide con el descubrimiento de 14 paquetes npm maliciosos que escriben OpenSearch, ElasticSearch, DevOps y bibliotecas de configuración de entorno conocidas para recolectar credenciales de AWS, tokens de HashiCorp Vault, tokens de npm y secretos de canalización de CI/CD del entorno host utilizando un recolector de credenciales especialmente diseñado que se lanza a través de un gancho de preinstalación.
Según el equipo de investigación de seguridad de Microsoft Defender, los paquetes fueron publicados por un único actor de amenazas llamado «vpmdhaj» («a39155771@gmail.com») el 28 de mayo de 2026. Los nombres de los paquetes se encuentran a continuación:
- @vpmdhaj/herramientas-devops
- @vpmdhaj/elástico-ayudante
- @vpmdhaj/opensearch-setup
- @vpmdhaj/configuración de búsqueda
- utilidad-config-aplicación
- ayudante de búsqueda abierta elástica
- administrador de configuración env
- utilidad-config-opensearch
- escáner-de-seguridad-opensearch
- configuración de búsqueda abierta
- herramienta de configuración de opensearch
- configuración-del-clúster-de-búsqueda
- configuración del motor de búsqueda
- vpmdhaj-opensearch-configuración
Los hallazgos son los últimos de una asombrosa serie de campañas de ataques a la cadena de suministro que se han dirigido al ecosistema npm en los últimos días.
- 164 paquetes npm maliciosos en cinco espacios de nombres con alcance que contienen una carga útil posterior a la instalación que descarga JavaScript de segunda etapa, lo genera como un proceso separado y envía las variables de entorno de la víctima («process.env») a «oob.moika(.)tech/report».
- 141 paquetes npm maliciosos publicados entre el 7 y el 27 de mayo de 2026, que abusan de npm como alojamiento estático gratuito para un proxy web monetizado con publicidad dirigido a estudiantes, mostrando anuncios emergentes a quienes acceden a estas páginas a través de resultados de búsqueda o enlaces compartidos.
- Un paquete npm malicioso llamado «forge-jsxy» que es capaz de registrar teclas, monitorear el portapapeles, escanear .env, exfiltración del historial de shell, inventario de host, acceso remoto al sistema de archivos, captura de pantalla y escaneo de billeteras de criptomonedas. Se considera que «Forge-jsxy» es una continuación de la campaña «forge-jsx» que salió a la luz a finales del mes pasado.
- 176 paquetes npm maliciosos que emplean confusión de dependencias al usar un número de versión alto («99.99.99») para distribuir un script posterior a la instalación con capacidades para tomar huellas dactilares del host y descargar una carga útil de JavaScript específica de la plataforma, que luego realiza un reconocimiento adicional, extrae credenciales y otros secretos valiosos del desarrollador, y descarga y ejecuta un binario de segunda etapa.
En un informe recientemente publicado, Sonatype dijo que los actores de amenazas han superado las técnicas clásicas de typosquatting, yendo más allá de errores ortográficos obvios al uso de nombres que parecen convincentes en flujos de trabajo legítimos de desarrolladores para robar datos y soltar cargas maliciosas. Esto, a su vez, transforma un paso de instalación de rutina en una vía propensa a riesgos para el reconocimiento, el robo de credenciales y el compromiso posterior.
Las técnicas populares de brandjacking incluyen la adición de prefijos o sufijos, confusión de dependencias, imitación de versiones, términos de destino integrados, ámbitos o espacios de nombres alterados y nombres que se asemejan a la función de un paquete legítimo.
«‘Typosquatting’ es ahora una etiqueta demasiado limitada para lo que captura este análisis», dijo la empresa de seguridad de la cadena de suministro. «El patrón más amplio es la legitimidad fabricada: los atacantes diseñan nombres de paquetes para que parezcan plausibles, útiles y operativamente rutinarios dentro de los ecosistemas de software modernos».
Estos incidentes también se han desarrollado contra una serie de compromisos en la cadena de suministro de software que se han relacionado con TeamPCP (también conocido como Replicating Marauder y UNC6780), que se ha convertido en una fuerza a tener en cuenta al envenenar herramientas de desarrollo populares en npm, PyPI, Docker Hub y Packagist en forma de gusano.
«Replicar Marauder no consistía simplemente en insertar código malicioso en paquetes, sino también explotar la automatización, la confianza heredada y los flujos de trabajo CI/CD ordinarios para impulsar el compromiso aún más», dijo el investigador de BlueVoyant, Michael Warren.
«Este fue el punto donde la campaña demostró más claramente que una dependencia o imagen de contenedor envenenada podría desencadenar un compromiso en el proceso de lanzamiento de una organización no relacionada. El cambio táctico convirtió el envenenamiento de software aislado en un método reproducible para la expansión de víctima a víctima».