Los investigadores de ciberseguridad han descubierto 36 paquetes maliciosos en el registro npm que están disfrazados de complementos de Strapi CMS pero vienen con diferentes cargas efectos para allanar la explotación de Redis y PostgreSQL, implementar shells inversos, resumir credenciales y colocar un implante persistente.
“Cada paquete contiene tres archivos (package.json, index.js, postinstall.js), no tiene descripción, repositorio ni página de inicio, y usa la interpretación 3.6.8 para aparecer como un complemento comunitario adulto de Strapi v3”, dijo SafeDep.
Todos los paquetes npm identificados siguen la misma convención de nomenclatura, comenzando con “strapi-plugin-” y luego frases como “cron”, “almohadilla de datos” o “servidor” para engañar a los desarrolladores desprevenidos para que los descarguen. Vale la pena señalar que los complementos oficiales de Strapi tienen su radio en “@strapi/”.
Los paquetes, subidos por cuatro cuentas de títeres de calcetines “umarbek1233”, “kekylf12”, “tikeqemif26” y “umar_bektembiev1” durante un período de 13 horas, se enumeran a continuación:
- strapi-plugin-cron
- strapi-plugin-config
- servidor-plugin-strapi
- almohadilla de datos-plugin-strapi
- strapi-plugin-núcleo
- ganchos-plugin-strapi
- monitor-plugin-strapi
- eventos-plugin-strapi
- registrador-plugin-strapi
- strapi-plugin-salud
- sincronización-plugin-strapi
- semilla-plugin-strapi
- correa-plugin-locale
- formulario-plugin-strapi
- strapi-plugin-notificar
- strapi-plugin-api
- strapi-plugin-sitemap-gen
- complemento-strapi-herramientas-nordicas
- strapi-plugin-nordica-sync
- strapi-plugin-nordica-cms
- complemento-strapi-nordica-api
- complemento-strapi-nordica-recon
- strapi-plugin-nordica-stage
- complemento-strapi-nordica-vhost
- complemento-strapi-nordica-deep
- complemento-strapi-nordica-lite
- complemento-strapi-nordica
- complemento-strapi-finseven
- strapi-plugin-hextest
- complemento-strapi-cms-herramientas
- strapi-plugin-sincronización-de-contenido
- herramientas-depuración-plugin-strapi
- control-de-estado-del-plugin-strapi
- strapi-plugin-guardarian-ext
- complemento-strapi-uuid-avanzado
- complemento-strapi-blurhash
Un prospección de los paquetes revela que el código ladino está incrustado en el enlace del script postinstalación, que se ejecuta en “npm install” sin requerir ninguna interacción por parte del becario. Se ejecuta con los mismos privilegios que los del becario instalador, lo que significa que abusa del acercamiento raíz adentro de entornos CI/CD y contenedores Docker.
La desarrollo de las cargas efectos distribuidas como parte de la campaña es la venidero:
- Utilice una instancia de Redis accesible localmente para la ejecución remota de código inyectando una entrada crontab (además conocida como tabla cron) para descargar y ejecutar un script de shell desde un servidor remoto cada minuto. El script de shell escribe un shell web PHP y un shell inverso de Node.js a través de SSH en el directorio de cargas públicas de Strapi. Incluso intenta escanear el disco en rastreo de secretos (por ejemplo, Elasticsearch y frases iniciales de billeteras de criptomonedas) y extraer un módulo API Guardarian.
- Combine la explotación de Redis con el escape del contenedor Docker para escribir cargas efectos del shell en el host fuera del contenedor. Incluso inicia un shell inverso directo de Python en el puerto 4444 y escribe un activador de shell inverso en el directorio node_modules de la aplicación a través de Redis.
- Implemente un shell inverso, escriba un descargador de shell a través de Redis y ejecute el archivo resultante.
- Escanee el sistema en rastreo de variables de entorno y cadenas de conexión de bases de datos PostgreSQL.
- Un recolector de credenciales ampliado y una carga útil de inspección para resumir volcados de entorno, configuraciones de Strapi, linaje de bases de datos de Redis mediante la ejecución de los comandos INFO, DBSIZE y KEYS, mapeo de topología de red y secretos de Docker/Kubernetes, claves criptográficas y archivos de billetera de criptomonedas.
- Lleve a promontorio la explotación de la almohadilla de datos PostgreSQL conectándose a la almohadilla de datos PostgreSQL del objetivo utilizando credenciales codificadas y consultando tablas específicas de Strapi en rastreo de secretos. Incluso descarta patrones coincidentes relacionados con criptomonedas (por ejemplo, billetera, transacción, depósito, retiro, activo, frío y saldo) e intenta conectarse a seis bases de datos de Guardarian. Esto indica que el actor de la amenaza ya está en posesión de los datos, obtenidos ya sea mediante un compromiso previo o por algún otro medio.
- Implementar un implante persistente diseñado para apoyar el acercamiento remoto a un nombre de host específico (“prod-strapi”).
- Facilite el robo de credenciales escaneando rutas codificadas y generando un shell inverso persistente.
“Las ocho cargas efectos muestran una novelística clara: el atacante comenzó agresivamente (Redis RCE, Docker escape), descubrió que esos enfoques no funcionaban, giró en dirección a el inspección y la compendio de datos, utilizó credenciales codificadas para el acercamiento directo a la almohadilla de datos y finalmente se decidió por el acercamiento persistente con robo de credenciales dirigido”, dijo SafeDep.
La naturaleza de las cargas efectos, combinada con el enfoque en los activos digitales y el uso de credenciales de bases de datos y nombres de host codificados, plantea la posibilidad de que la campaña fuera un ataque dirigido contra una plataforma de criptomonedas. Se recomienda a los usuarios que hayan instalado cualquiera de los paquetes ayer mencionados que asuman un compromiso y roten todas las credenciales.
El descubrimiento coincide con el descubrimiento de varios ataques a la sujeción de suministro dirigidos al ecosistema de código rajado.
- Una cuenta de GitHub señal “ezmtebo” ha enviado más de 256 solicitudes de linaje en varios repositorios de código rajado que contienen una carga útil de exfiltración de credenciales. “Roba secretos a través de registros de CI y comentarios de relaciones públicas, inyecta flujos de trabajo temporales para volcar títulos secretos, aplica etiquetas automáticamente para evitar las puertas pull_request_target y ejecuta un escáner de fondo/procesamiento durante 10 minutos posteriormente de que sale el script principal”, dijo SafeDep.
- Un secuestro de “dev-protocol”, una ordenamiento verificada de GitHub, para distribuir robots comerciales maliciosos de Polymarket con dependencias npm mal escritas (“ts-bign” y “levex-refa” o “big-nunber” y “lint-builder”) que roban claves privadas de billetera, filtran archivos confidenciales y abren una puerta trasera SSH en la máquina de la víctima. Mientras que “levex-refa” funciona como un ratero de credenciales, “lint-builder” instala la puerta trasera SSH. Tanto “ts-bign” como “big-nunber” están diseñados para entregar “levex-refa” y “lint-builder”, respectivamente, como una dependencia transitiva.
- Un compromiso del popular paquete de Emacs, “kubernetes-el/kubernetes-el”, que explotó la vulnerabilidad Pwn Request en su flujo de trabajo de GitHub Actions usando el disparador pull_request_target para robar el GITHUB_TOKEN del repositorio, filtrar secretos de CI/CD, desfigurar el repositorio e inyectar código destructivo para eliminar casi todos los archivos del repositorio.
- Un compromiso del flujo de trabajo cierto de GitHub Actions “xygeni/xygeni-action” utilizando credenciales de mantenedor robadas para colocar una puerta trasera de shell inverso. Desde entonces, Xygeni ha implementado nuevos controles de seguridad para topar el incidente.
- Un compromiso del paquete npm cierto, “mgc”, mediante una apropiación de cuenta para impulsar cuatro versiones maliciosas (1.2.1 a 1.2.4) que contienen un script dropper que detecta el sistema operante y recupera una carga útil específica de la plataforma (un troyano Python para Linux y una transformación de PowerShell para Windows señal WAVESHAPER.V2) desde un GitHub Gist. El ataque comparte una superposición directa con el flamante ataque a la sujeción de suministro dirigido a Axios, que se ha atribuido a un camarilla de amenazas de Corea del Ideal rastreado como UNC1069.
- Un paquete npm ladino llamado “express-session-js” que escribe “express-session” y contiene un cuentagotas que recupera un troyano de acercamiento remoto (RAT) de venidero etapa de JSON Keeper para realizar robo de datos y acercamiento persistente conectándose a “216.126.237(.)71” usando la biblioteca Socket.IO.
- Un compromiso del paquete PyPI cierto, “bittensor-wallet” (interpretación 4.0.2), para implementar una puerta trasera que se activa durante una operación de descifrado de billetera para exfiltrar claves de billetera usando HTTPS, túneles DNS y TLS sin formato como canales de exfiltración a un dominio codificado o uno creado usando un operación de coexistentes de dominio (DGA) que se rota diariamente.
- Un paquete PyPI ladino llamado “pyronut” que escribe “pyrogram”, un popular entorno API de Python Telegram, para incorporar una puerta trasera sigilosa que se activa cada vez que se inicia un cliente de Telegram y toma el control de la sesión de Telegram y el sistema host subyacente. “La puerta trasera registra controladores de mensajes ocultos de Telegram que permiten que dos cuentas codificadas controladas por atacantes ejecuten código Python gratuito (a través del comando /e y la biblioteca meval) y comandos de shell arbitrarios (a través del comando /shell y el subproceso) en la máquina de la víctima”, dijo Endor Labs.
- Un conjunto de tres extensiones maliciosas de Microsoft Visual Studio Code (VS Code) publicadas por “IoliteLabs”: “solidity-macos”, “solidity-windows” y “solidity-linux”, que originalmente estaban inactivas desde 2018, pero se actualizaron el 25 de marzo de 2026 para divulgar una puerta trasera de varias etapas dirigida a los sistemas Windows y macOS al iniciar la aplicación para establecer la persistencia. En conjunto, las extensiones tenían 27.500 instalaciones ayer de ser eliminadas.
- Varias versiones de la extensión VS Code “KhangNghiem/fast-draft” en Open VSX (0.10.89, 0.10.105, 0.10.106 y 0.10.112) que ejecutan un descargador alojado en GitHub para implementar un Socket.IO RAT de segunda etapa, un ratero de información, un módulo de exfiltración de archivos y un celador de portapapeles desde un repositorio de GitHub. Curiosamente, se ha descubierto que las versiones 0.10.88, 0.10.111 y 0.10.129-135 están limpias. “Ese no es el patrón de extensión que se paciencia de una sola compilación comprometida o de un mantenedor que ha cambiado por completo a un comportamiento ladino”, dijo Aikido. “Parece más adecuadamente dos flujos de extensión en competencia que comparten la misma identidad de editor”.
En un mensaje publicado en febrero de 2026, Group-IB reveló que los ataques a la sujeción de suministro de software se han convertido en “la fuerza dominante que está remodelando el panorama mundial de amenazas cibernéticas”, y agregó que los actores de amenazas persiguen a proveedores confiables, software de código rajado, plataformas SaaS, extensiones de navegador y proveedores de servicios administrados para obtener acercamiento heredado a cientos de organizaciones posteriores.
La amenaza a la sujeción de suministro puede subir rápidamente de una sola intrusión localizada a poco que tiene un impacto transfronterizo a gran escalera, con atacantes industrializando los compromisos de la sujeción de suministro y convirtiéndola en un ecosistema “auto-reforzado”, ya que ofrece radio, velocidad y sigilo.
“Los repositorios de paquetes como npm y PyPI se han convertido en objetivos principales, credenciales de mantenimiento robadas y gusanos de malware automatizados para comprometer bibliotecas ampliamente utilizadas, convirtiendo los canales de exposición en canales de distribución a gran escalera para códigos maliciosos”, dijo Group-IB
