%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.12%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EPoisoned npm Packages Target%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EDevelopers With Remote Access%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ETrojan — A Defensive Breakdown%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
El ecosistema de código abierto vuelve a ser el vector de entrada. Un grupo de paquetes npm, diseñados para parecer extensiones legítimas de PostCSS, están distribuyendo un troyano de acceso remoto (RAT) dirigido a sistemas Windows. Si tu equipo usa npm para gestión de dependencias, esto te toca de cerca.
El problema
De acuerdo con un reporte de The Hacker News, investigadores de ciberseguridad identificaron una serie de paquetes maliciosos en el registro público de npm que se hacen pasar por herramientas de PostCSS. La lista incluye 'aes-decode-runner-pro' (145 descargas), 'postcss-minify-selector' (256 descargas) y 'postcss-minify-selector-parser' (615 descargas). Todos fueron publicados en el último mes por un mismo usuario de npm. Su objetivo real: infectar la máquina de la víctima con un RAT para Windows, es decir, un troyano que permite el control remoto del equipo comprometido.
Consecuencias
Un RAT en Windows no es un simple adware. Quien lo controla puede robar credenciales, capturar pulsaciones de teclado, acceder a archivos privados, activar la cámara o el micrófono, y usar el equipo como punto de apoyo para moverse lateralmente dentro de la red. Para un desarrollador o una agencia que integre estos paquetes en un proyecto, el riesgo incluye la filtración de secretos de API, claves de acceso a producción y datos de clientes. Además, la naturaleza silenciosa del RAT permite que pase desapercibido durante semanas.