Los investigadores de ciberseguridad han impresionado un ataque de la cautiverio de suministro que se dirige a más de una docena de paquetes asociados con Gluestack para entregar malware.
El malware, introducido a través de un cambio a “lib/commonjs/index.js”, permite que un atacante ejecute comandos de shell, tome capturas de pantalla y cargue archivos a máquinas infectadas, dijo Aikido Security a Hacker News, indicando que estos paquetes representan colectivamente casi 1 millón de descargas semanales.
El llegada no calificado podría estilarse para realizar varias acciones de seguimiento como la criptomoneda minera, robar información confidencial e incluso cerrar los servicios. Aikido dijo que el primer compromiso del paquete se detectó el 6 de junio de 2025 a las 9:33 pm GMT.
La directorio de los paquetes impactados y las versiones afectadas está a continuación –
- @Gluestack-UI/Utils traducción 0.1.16 (101 descargas)
- @Gluestack-UI/Utils traducción 0.1.17 (176 descargas)
- @react-native-aria/gema traducción 0.2.11 (174 descargas)
- @React-Native-Solo/CheckBox Version 0.2.11 (577 descargas)
- @react-native-aria/comboBox traducción 0.2.8 (167 descargas)
- @react-native-aria/divulgación traducción 0.2.9 (n/a)
- @react-native-aria/focus traducción 0.2.10 (descargas 951)
- @react-native-aria/interacciones traducción 0.2.17 (420 descargas)
- @react-native-aria/listbox traducción 0.2.10 (171 descargas)
- @React-Native-Solo/Menú traducción 0.2.16 (54 descargas)
- @react-native-aria/superposición traducción 0.3.16 (751 descargas)
- @react-native-aria/radiodifusión traducción 0.2.14 (570 descargas)
- @react-native-aria/slider traducción 0.2.13 (264 descargas)
- @react-native-aria/switch traducción 0.2.5 (56 descargas)
- @React-Native-Solo/Tabs traducción 0.2.14 (170 descargas)
- @react-native-aria/toggle traducción 0.2.12 (589 descargas)
- @react-native-aria/utils traducción 0.2.13 (341 descargas)
Adicionalmente, el código taimado inyectado en los paquetes es similar al troyano de llegada remoto que se entregó a posteriori del compromiso de otro paquete NPM “Rand-User-Agent” el mes pasado, lo que indica que la misma amenaza que los actores podrían estar detrás de la actividad.
El troyano es una traducción actualizada que admite dos nuevos comandos para cosechar información del sistema (“SS_INFO”) y la dirección IP pública del host (“SS_IP”).
Desde entonces, los mantenedores de proyectos han revocado el token de llegada y han impresionado las versiones afectadas como desaprobadas. Se recomienda a los usuarios que hayan descargado las versiones maliciosas para regresar a una traducción segura para mitigar las posibles amenazas.
“El impacto potencial es de escalera masivo, y el mecanismo de persistencia del malware es particularmente preocupante: los atacantes mantienen el llegada a máquinas infectadas incluso a posteriori de que los mantenedores actualicen los paquetes”, dijo la compañía en un comunicado.
Paquetes maliciosos que se encuentran en NPM UnleaAsh Destructive Features
El progreso se produce cuando Socket descubrió dos paquetes de NPM deshonestos: expreso-api-sync y sistema-salud-sync-api, que se disfrazan de utilidades legítimas pero implantan limpiaparadores que pueden eliminar enteros directorios de aplicaciones.
Publicado por la cuenta “BotSailer” (correo electrónico: anupm019@gmail (.) Com), los paquetes se descargaron 112 y 861 veces, respectivamente, antiguamente de ser retirados.
El primero de los dos paquetes, Express-API-Sync, afirma ser una API expresa para sincronizar datos entre dos bases de datos. Sin requisa, una vez instalado y apéndice por un desarrollador desprevenido a su aplicación, desencadena la ejecución del código taimado al aceptar una solicitud HTTP con una secreto codificada “default_123”.
Al aceptar la secreto, ejecuta el comando UNIX “RM -RF *” para eliminar recursivamente todos los archivos del directorio presente y a continuación, incluidos el código fuente, los archivos de configuración, los activos y las bases de datos locales.
El otro paquete es mucho más sofisticado, actuando como un robador de información y un limpiaparabrisas, al tiempo que modifica sus comandos de aniquilación en función de si el sistema eficaz es Windows (“RD /S /Q.”) o Linux (“RM -RF *”).
“Donde Express-API-Sync es un aparato convincente, el sistema-sincronización de sanidad del sistema es una cortaplumas de destrucción del ejército suizo con una compilación de inteligencia incorporada”, dijo el investigador de seguridad Kush Pandya.
Un aspecto importante del paquete NPM es que utiliza el correo electrónico como canal de comunicación estafa, que se conecta al hendidura controlado por el atacante a través de credenciales SMTP codificadas. La contraseña se ofusca utilizando Base64-Ecoding, mientras que el nombre de beneficiario apunta a una dirección de correo electrónico con un dominio asociado con una agencia de acervo raíces con sede en India (“Auth@Corehomes (.) IN”).
“Cada evento significativo desencadena un correo electrónico a anupm019@gmail (.) Com”, dijo Socket. “El correo electrónico incluye la URL de backend completa, que potencialmente expone los detalles de la infraestructura interna, los entornos de progreso o los servidores de estadificación que no deben conocerse públicamente”.
El uso de SMTP para la exfiltración de datos es astuto ya que la mayoría de los firewalls no bloquean el tráfico de correo electrónico saliente, y permite que el tráfico taimado se mezcle con los correos electrónicos de aplicaciones legítimas.
Adicionalmente, el paquete resiste los puntos finales en “/_/sistema/sanidad” y “/_/sys/mantenimiento” para liberar los comandos de destrucción específicos de la plataforma, y este extremo actúa como un mecanismo de devolución en caso de que la puerta trasera principal se detecte y bloquee.
“Los atacantes primero verifican la puerta trasera a través de Get/_/System/Health que devuelve el nombre y el estado de host del servidor”, explicó Pandya. “Pueden probar con el modo de manejo seco si está configurado, luego ejecute la destrucción usando post/_/system/sanidad o la copia de seguridad de la publicación/_/sys/mantenimiento final con la secreto” helloworld “.
El descubrimiento de los dos nuevos paquetes de NPM muestra que los actores de amenazas están comenzando a expandirse más allá del uso de bibliotecas falsas para información y robo de criptomonedas para centrarse en el boicoteo del sistema, poco de un progreso inusual, ya que no ofrecen beneficios financieros.
El paquete Pypi se hace acaecer por la aparejo de crecimiento de Instagram para cosechar credenciales
Igualmente se produce cuando la firma de seguridad de la cautiverio de suministro de software descubrió un nuevo credencial de Python Harvester IMAD213 en el repositorio de Python Package Index (PYPI) que afirma ser una aparejo de crecimiento de Instagram. Según las estadísticas publicadas en Pepy.Tech, el paquete se ha descargado 3,242 veces.
“El malware utiliza la codificación base64 para ocultar su verdadera naturaleza e implementa un interruptor de crimen remoto a través de un archivo de control alojado en Netlify”, dijo Pandya. “Cuando se ejecuta, solicita a los usuarios las credenciales de Instagram y los transmite a diez servicios de botes de terceros diferentes mientras finge aumentar los recuentos de seguidores”.
La Biblioteca de Python ha sido cargada por un beneficiario llamado IM_AD__213 (asimismo conocido como IMAD-213), quien se unió al registro el 21 de marzo de 2025, y ha subido otros tres paquetes que pueden cosechar Facebook, Gmail, Twitter y VK Credentials (Taya, A-B27) o apalancamiento de las plataformas de transmisión de la transmisión de la transmisión y APIS con la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión a la transmisión. (Poppo213).
La directorio de paquetes, que todavía están disponibles para descargar desde Pypi, está a continuación –
- IMAD213 (3,242 descargas)
- Taya (930 descargas)
- A-B27 (996 descargas)
- Poppo213 (3,165 descargas)
En un documento GitHub ReadMe.MD publicado por IMAD-213 aproximadamente dos días antiguamente de que “IMAD213” fuera cargado a Pypi, el actor de amenaza afirma que la biblioteca es principalmente de “fines educativos e de investigación” y señala que no son responsables de ningún uso indebido.
La descripción de GitHub asimismo incluye un “consejo de seguridad engañoso”, instando a los usuarios a utilizar una cuenta de Instagram falsa o temporal para evitar tener problemas con su cuenta principal.
“Esto crea falsa seguridad, los usuarios piensan que están siendo cautelosos mientras dan credenciales válidas al atacante”, dijo Pandya.
Una vez emprendedor, el malware se conecta a un servidor foráneo y lee un archivo de texto (“pass.txt”) y continúa con la ejecución solo si el contenido del archivo coincide con la cautiverio “IMAD213”. El interruptor Kill puede cumplir múltiples propósitos, permitiendo al actor de amenaza determinar quién tiene llegada para ejecutar la biblioteca o apagar cada copia descargada simplemente cambiando el contexto del archivo de control.
En el sucesivo paso, la biblioteca solicita al beneficiario que ingrese sus credenciales de Instagram, que luego se guardan localmente en un archivo llamado “credencials.txt” y transmiten a diez sitios web de servicios de BOT dudos diferentes, algunos de los cuales se vinculan a una red de herramientas de crecimiento de Instagram turco que probablemente operan por la misma entidad. Los dominios se registraron en junio de 2021.
“El surgimiento de esta credencial Harvester revela las tendencias en el malware dirigido por las redes sociales”, dijo Socket. “Con diez servicios de BOT diferentes que reciben credenciales, estamos viendo las primeras etapas del lavado de credenciales, donde los inicios de sesión robados se distribuyen a través de múltiples servicios para oscurecer su origen”.
