%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.08%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EWhen Open Source Tooling%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EBecomes a Backdoor: North%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EKorean npm Packages Target…%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Cuando un paquete legítimo de código abierto es clonado con precisión quirúrgica, el desarrollador promedio no tiene forma de distinguir la copia maliciosa del original. Un nuevo grupo de paquetes npm vinculados a Corea del Norte demuestra que los atacantes ya no necesitan exploits complejos: les basta con copiar la fachada de una herramienta confiable.
El problema
De acuerdo con el reporte de The Hacker News, investigadores de JFrog detectaron una campaña activa de paquetes npm maliciosos atribuidos a actores de amenazas vinculados a Corea del Norte. Los paquetes, llamados "rollup-packages-polyfill-core" y "rollup-runtime-polyfill-core", suplantan al proyecto legítimo "rollup-plugin-polyfill-node", copiando su descripción, metadatos del repositorio y estructura visual para engañar a desarrolladores que buscan herramientas de polyfill para Rollup. Una vez instalados, estos paquetes establecen acceso remoto y facilitan el robo de secretos del entorno de desarrollo.
Consecuencias
El impacto inmediato es la pérdida de credenciales, tokens de API, claves SSH y variables de entorno que los desarrolladores almacenan localmente. Pero la consecuencia más grave va más allá: una vez que el atacante tiene acceso al entorno de desarrollo, puede inyectar código en las aplicaciones que se están construyendo, comprometiendo no solo al desarrollador sino a toda la cadena de suministro de software downstream. Para empresas que usan integración continua y despliegue automático, un solo paquete malicioso puede propagar el compromiso a miles de usuarios finales.