Los investigadores de ciberseguridad han señalado otra evolución del ataque a la cadena de suministro vinculado a la familia de malware Mini Shai-Hulud, Miasma y Hades que ha comprometido un nuevo conjunto de paquetes npm, incluso cuando se ha propagado al ecosistema Go.
“La última actividad incluye lanzamientos maliciosos de npm que afectan a los paquetes LeoPlatform y RStreams, abuso del flujo de trabajo de GitHub Actions y un compromiso del módulo Go relacionado que involucra el proyecto Verana Blockchain”, dijo Socket.
El objetivo final de la campaña, como antes, es recopilar credenciales de desarrollador o mantenedor y convertir los datos robados en armas para distribuirlos entre registros de paquetes, repositorios y flujos de trabajo de desarrolladores confiables.
La lista de paquetes afectados se encuentra a continuación:
- hexo-deployer-wrangler@1.0.4
- hexo-shoka-swiper@0.1.10
- leo-auth@4.0.6
- leo-aws@2.0.4
- leo-cache@1.0.2
- leo-cdk-lib@0.0.2
- leo-cli@3.0.3
- leo-config@1.1.1
- leo-conector-elasticsearch@2.0.6
- leo-conector-mongo@3.0.8
- leo-conector-mysql@3.0.3
- conector-leo-oracle@2.0.1
- conector-leo-corrimiento-rojo@3.0.6
- leo-cron@2.0.2
- leo-logger@1.0.8
- leo-sdk@6.0.19
- leo-streams@2.0.1
- prisma-silq@1.0.1
- rstreams-métricas@2.0.2
- rstreams-fragmento-util@1.0.1
- convención sin servidor@2.0.4
- sin servidor-leo@3.0.14
- solo-nav@1.0.1
- github.com/verana-labs/verana-blockchain@v0.10.1-dev.20 (Ir)
Se sospecha que una cuenta de desarrollador de npm asociada con LeoPlatform (“czirker”) fue violada, probablemente a través de credenciales filtradas, para permitir el ataque, lo que permitió a los actores de la amenaza aprovechar un token de npm que pertenece al mantenedor para impulsar versiones troyanizadas dentro de una ventana de seis segundos.
La nueva ola aprovecha muchas de las tácticas observadas en campañas anteriores, incluido el envenenamiento del registro npm, la ejecución en el momento de la instalación de vinculante.gyp, el malware JavaScript Bun-staged, la infraestructura de GitHub dead-drop, el robo de secretos de GitHub Actions, la persistencia del asistente de codificación IDE e IA y la exfiltración de credenciales cifradas.
Los paquetes npm maliciosos, si bien carecen de un gancho de ciclo de vida que normalmente se agrega al archivo package.json, incorporan un archivo vinculante.gyp para ejecutar código arbitrario durante la instalación, lo que resulta en el lanzamiento de un cargador de JavaScript que descarga e instala el tiempo de ejecución de Bun si no está presente, y luego inicia la carga útil del ladrón responsable de recolectar secretos, credenciales y tokens.
El malware, además de presentar un interruptor de seguridad local ruso y verificar la presencia de software de seguridad de punto final, lanza un flujo de trabajo llamado “Run Copilot” para capturar secretos del entorno CI/CD de la memoria del ejecutor. Luego, la información se carga en un repositorio público de GitHub con la descripción “Muy bien, veamos si esto funciona”. Al momento de escribir este artículo, hay 559 repositorios que coinciden con la descripción.
El marcador de retransmisión de tokens también ha sido testigo de un cambio en la última versión. Mientras que las oleadas anteriores usaban cadenas como “IfYouInvalidateThisTokenItWillNukeTheComputerOfTheOwner”, el artefacto actual usa “RevokeAndItGoesKaboom”, una cadena que se ha utilizado como resolución de caída muerta de GitHub en relación con el reciente compromiso de la acción de GitHub “codfish/semantic-release-action”.
“El 24 de junio de 2026 a las 15:39:06 UTC, un atacante impulsó una confirmación maliciosa a codfish/semantic-release-action y redirigió varias etiquetas de versión para apuntar a la confirmación maliciosa”, dijo StepSecurity.
“Cualquier flujo de trabajo que se ejecutara contra una de estas etiquetas después de esa marca de tiempo ejecutó la carga útil del atacante directamente dentro del ejecutor de GitHub Actions. La carga útil roba tokens OIDC de GitHub, recolecta tokens de acceso personal que coinciden con patrones de tokens de GitHub conocidos, cifra el material recopilado con AES-128-GCM e intenta propagar una puerta trasera a otros repositorios accesibles con las credenciales robadas”.
Esto indica que todos estos eventos están vinculados al mismo grupo operativo o linaje de herramientas. Según Endor Labs y OX Security, el malware también sondea GitHub cada hora en busca de confirmaciones que coincidan con la cadena “firedalazer” para recuperar y ejecutar la variante Hades del malware.
“El conjunto de paquetes Leo/RStreams está vinculado a cargas de trabajo nativas de la nube y sin servidor”, afirmó JFrog. “Un compromiso aquí puede exponer las estaciones de trabajo de los desarrolladores, los sistemas CI/CD, las aplicaciones respaldadas por AWS, los repositorios de GitHub, las credenciales de publicación de paquetes y los consumidores de paquetes posteriores”.
“Lo notable no es que la carga útil sea radicalmente nueva. Es que Shai-Hulud continúa moviéndose a través de ecosistemas de paquetes legítimos mientras cambia los indicadores suficientes para hacer que las detecciones obsoletas sean menos efectivas”.
Es más, el envenenamiento de Verana GitHub amplía el alcance de la campaña más allá de npm. Dicho esto, el ataque emplea el mismo patrón de ejecución de Miasma observado en paquetes npm maliciosos sin depender de la resolución nativa del módulo Go ni de la lógica de compilación.
“A diferencia de los paquetes npm, esta muestra no depende de vinculante.gyp”, explicó Socket. “El riesgo es la ejecución del repositorio de origen: un desarrollador que clona o abre el repositorio en un entorno de asistente de codificación de IA o IDE confiable puede activar la carga útil a través de la configuración del proyecto”.
“Esto refuerza el tema más amplio de la campaña: Miasma se está moviendo a través de ecosistemas de paquetes al apuntar a los flujos de trabajo de los desarrolladores, no solo a los ganchos de instalación del administrador de paquetes”.