Los investigadores de ciberseguridad han marcado un ataque de la cadena de suministro que se dirige a más de una docena de paquetes asociados con Gluestack para entregar malware.
El malware, introducido a través de un cambio a «lib/commonjs/index.js», permite que un atacante ejecute comandos de shell, tome capturas de pantalla y cargue archivos a máquinas infectadas, dijo Aikido Security a Hacker News, indicando que estos paquetes representan colectivamente casi 1 millón de descargas semanales.
El acceso no autorizado podría usarse para realizar varias acciones de seguimiento como la criptomoneda minera, robar información confidencial e incluso cerrar los servicios. Aikido dijo que el primer compromiso del paquete se detectó el 6 de junio de 2025 a las 9:33 pm GMT.
La lista de los paquetes impactados y las versiones afectadas está a continuación –
- @Gluestack-UI/Utils versión 0.1.16 (101 descargas)
- @Gluestack-UI/Utils versión 0.1.17 (176 descargas)
- @react-native-aria/botón versión 0.2.11 (174 descargas)
- @React-Native-Aria/CheckBox Version 0.2.11 (577 descargas)
- @react-native-aria/comboBox versión 0.2.8 (167 descargas)
- @react-native-aria/divulgación versión 0.2.9 (n/a)
- @react-native-aria/focus versión 0.2.10 (descargas 951)
- @react-native-aria/interacciones versión 0.2.17 (420 descargas)
- @react-native-aria/listbox versión 0.2.10 (171 descargas)
- @React-Native-Aria/Menú versión 0.2.16 (54 descargas)
- @react-native-aria/superposición versión 0.3.16 (751 descargas)
- @react-native-aria/radio versión 0.2.14 (570 descargas)
- @react-native-aria/slider versión 0.2.13 (264 descargas)
- @react-native-aria/switch versión 0.2.5 (56 descargas)
- @React-Native-Aria/Tabs versión 0.2.14 (170 descargas)
- @react-native-aria/toggle versión 0.2.12 (589 descargas)
- @react-native-aria/utils versión 0.2.13 (341 descargas)
Además, el código malicioso inyectado en los paquetes es similar al troyano de acceso remoto que se entregó después del compromiso de otro paquete NPM «Rand-User-Agent» el mes pasado, lo que indica que la misma amenaza que los actores podrían estar detrás de la actividad.
El troyano es una versión actualizada que admite dos nuevos comandos para cosechar información del sistema («SS_INFO») y la dirección IP pública del host («SS_IP»).
Desde entonces, los mantenedores de proyectos han revocado el token de acceso y han marcado las versiones afectadas como desaprobadas. Se recomienda a los usuarios que hayan descargado las versiones maliciosas para regresar a una versión segura para mitigar las posibles amenazas.
«El impacto potencial es de escala masivo, y el mecanismo de persistencia del malware es particularmente preocupante: los atacantes mantienen el acceso a máquinas infectadas incluso después de que los mantenedores actualicen los paquetes», dijo la compañía en un comunicado.
Paquetes maliciosos que se encuentran en NPM UnleaAsh Destructive Features
El desarrollo se produce cuando Socket descubrió dos paquetes de NPM deshonestos: expreso-api-sync y sistema-salud-sync-api, que se disfrazan de utilidades legítimas pero implantan limpiaparadores que pueden eliminar enteros directorios de aplicaciones.
Publicado por la cuenta «BotSailer» (correo electrónico: anupm019@gmail (.) Com), los paquetes se descargaron 112 y 861 veces, respectivamente, antes de ser retirados.
El primero de los dos paquetes, Express-API-Sync, afirma ser una API expresa para sincronizar datos entre dos bases de datos. Sin embargo, una vez instalado y agregado por un desarrollador desprevenido a su aplicación, desencadena la ejecución del código malicioso al recibir una solicitud HTTP con una clave codificada «default_123».
Al recibir la clave, ejecuta el comando UNIX «RM -RF *» para eliminar recursivamente todos los archivos del directorio actual y a continuación, incluidos el código fuente, los archivos de configuración, los activos y las bases de datos locales.
El otro paquete es mucho más sofisticado, actuando como un robador de información y un limpiaparabrisas, al tiempo que modifica sus comandos de eliminación en función de si el sistema operativo es Windows («RD /S /Q.») o Linux («RM -RF *»).
«Donde Express-API-Sync es un instrumento contundente, el sistema-sincronización de salud del sistema es una navaja de destrucción del ejército suizo con una recopilación de inteligencia incorporada», dijo el investigador de seguridad Kush Pandya.
Un aspecto notable del paquete NPM es que utiliza el correo electrónico como canal de comunicación encubierta, que se conecta al buzón controlado por el atacante a través de credenciales SMTP codificadas. La contraseña se ofusca utilizando Base64-Ecoding, mientras que el nombre de usuario apunta a una dirección de correo electrónico con un dominio asociado con una agencia de bienes raíces con sede en India («Auth@Corehomes (.) IN»).
«Cada evento significativo desencadena un correo electrónico a anupm019@gmail (.) Com», dijo Socket. «El correo electrónico incluye la URL de backend completa, que potencialmente expone los detalles de la infraestructura interna, los entornos de desarrollo o los servidores de estadificación que no deben conocerse públicamente».
El uso de SMTP para la exfiltración de datos es astuto ya que la mayoría de los firewalls no bloquean el tráfico de correo electrónico saliente, y permite que el tráfico malicioso se mezcle con los correos electrónicos de aplicaciones legítimas.
Además, el paquete resiste los puntos finales en «/_/sistema/salud» y «/_/sys/mantenimiento» para liberar los comandos de destrucción específicos de la plataforma, y este último actúa como un mecanismo de devolución en caso de que la puerta trasera principal se detecte y bloquee.
«Los atacantes primero verifican la puerta trasera a través de Get/_/System/Health que devuelve el nombre y el estado de host del servidor», explicó Pandya. «Pueden probar con el modo de manejo seco si está configurado, luego ejecute la destrucción usando post/_/system/salud o la copia de seguridad de la publicación/_/sys/mantenimiento final con la clave» helloworld «.
El descubrimiento de los dos nuevos paquetes de NPM muestra que los actores de amenazas están comenzando a expandirse más allá del uso de bibliotecas falsas para información y robo de criptomonedas para centrarse en el sabotaje del sistema, algo de un desarrollo inusual, ya que no ofrecen beneficios financieros.
El paquete Pypi se hace pasar por la herramienta de crecimiento de Instagram para cosechar credenciales
También se produce cuando la firma de seguridad de la cadena de suministro de software descubrió un nuevo credencial de Python Harvester IMAD213 en el repositorio de Python Package Index (PYPI) que afirma ser una herramienta de crecimiento de Instagram. Según las estadísticas publicadas en Pepy.Tech, el paquete se ha descargado 3,242 veces.
«El malware utiliza la codificación base64 para ocultar su verdadera naturaleza e implementa un interruptor de asesinato remoto a través de un archivo de control alojado en Netlify», dijo Pandya. «Cuando se ejecuta, solicita a los usuarios las credenciales de Instagram y los transmite a diez servicios de botes de terceros diferentes mientras finge aumentar los recuentos de seguidores».
La Biblioteca de Python ha sido cargada por un usuario llamado IM_AD__213 (también conocido como IMAD-213), quien se unió al registro el 21 de marzo de 2025, y ha subido otros tres paquetes que pueden cosechar Facebook, Gmail, Twitter y VK Credentials (Taya, A-B27) o apalancamiento de las plataformas de transmisión de la transmisión de la transmisión y APIS con la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión a la transmisión. (Poppo213).
La lista de paquetes, que todavía están disponibles para descargar desde Pypi, está a continuación –
- IMAD213 (3,242 descargas)
- Taya (930 descargas)
- A-B27 (996 descargas)
- Poppo213 (3,165 descargas)
En un documento GitHub ReadMe.MD publicado por IMAD-213 aproximadamente dos días antes de que «IMAD213» fuera cargado a Pypi, el actor de amenaza afirma que la biblioteca es principalmente de «fines educativos e de investigación» y señala que no son responsables de ningún uso indebido.
La descripción de GitHub también incluye un «consejo de seguridad engañoso», instando a los usuarios a utilizar una cuenta de Instagram falsa o temporal para evitar tener problemas con su cuenta principal.
«Esto crea falsa seguridad, los usuarios piensan que están siendo cautelosos mientras dan credenciales válidas al atacante», dijo Pandya.
Una vez lanzado, el malware se conecta a un servidor externo y lee un archivo de texto («pass.txt») y continúa con la ejecución solo si el contenido del archivo coincide con la cadena «IMAD213». El interruptor Kill puede cumplir múltiples propósitos, permitiendo al actor de amenaza determinar quién tiene acceso para ejecutar la biblioteca o apagar cada copia descargada simplemente cambiando el contexto del archivo de control.
En el siguiente paso, la biblioteca solicita al usuario que ingrese sus credenciales de Instagram, que luego se guardan localmente en un archivo llamado «credencials.txt» y transmiten a diez sitios web de servicios de BOT dudos diferentes, algunos de los cuales se vinculan a una red de herramientas de crecimiento de Instagram turco que probablemente operan por la misma entidad. Los dominios se registraron en junio de 2021.
«El surgimiento de esta credencial Harvester revela las tendencias en el malware dirigido por las redes sociales», dijo Socket. «Con diez servicios de BOT diferentes que reciben credenciales, estamos viendo las primeras etapas del lavado de credenciales, donde los inicios de sesión robados se distribuyen a través de múltiples servicios para oscurecer su origen».