Microsoft vincula el compromiso de 140 paquetes npm con el grupo Sapphire Sleet
Microsoft ha atribuido formalmente un reciente ataque a la cadena de suministro, que afectó al entorno de Mastra AI, al grupo de actores de amenazas norcoreano conocido como Sapphire Sleet (también identificado como BlueNoroff). Este incidente subraya la creciente sofisticación de los ataques dirigidos a desarrolladores y la infraestructura crítica de software.
El origen del compromiso: una cuenta de mantenedor secuestrada
Según los informes técnicos de Microsoft, el ataque se originó tras el compromiso de la cuenta de mantenedor de npm «ehindero», la cual poseía privilegios de publicación en el entorno de paquetes de Mastra. Los atacantes utilizaron este acceso para publicar actualizaciones maliciosas en más de 140 paquetes bajo el ámbito (scope) @mastra.
La técnica empleada fue el typosquatting, inyectando una dependencia maliciosa denominada easy-day-js, un nombre diseñado para confundirse con la popular y legítima librería de JavaScript dayjs.
Análisis técnico: Un malware multiplataforma y persistente
Una vez que un desarrollador instalaba uno de los paquetes comprometidos, la dependencia maliciosa ejecutaba un hook de post-instalación. Este proceso desplegaba un script de descarga (dropper) altamente ofuscado que realizaba las siguientes acciones:
- Desactivación de seguridad: Deshabilitaba la verificación de certificados TLS para facilitar la comunicación con el servidor.
- Comunicación C2: Contactaba con una infraestructura de comando y control controlada por los atacantes.
- Ejecución de segunda etapa: Descargaba un infostealer multiplataforma diseñado para sistemas Windows, Linux y macOS.
El objetivo principal del malware era la exfiltración de credenciales sensibles, claves de API, tokens de autenticación y, específicamente, el robo de activos en criptomonedas. El implante buscaba activamente la presencia de 166 extensiones de carteras (wallets) en el navegador, incluyendo nombres conocidos como MetaMask, Coinbase Wallet y Binance Wallet.
Sapphire Sleet: Un actor estatal con enfoque financiero
Sapphire Sleet es un grupo patrocinado por el estado de Corea del Norte, conocido por sus campañas dirigidas al sector financiero y de criptomonedas. Su historial incluye el uso de extensiones de navegador maliciosas, ofertas de trabajo falsas y, como en este caso, compromisos de la cadena de suministro de software. Microsoft también vinculó a este grupo con un ataque similar contra el cliente HTTP Axios en abril de 2026.
Implicaciones para la ciberseguridad empresarial
Este incidente pone de manifiesto que los desarrolladores son ahora un objetivo de alto valor. El acceso a sus estaciones de trabajo no solo compromete la propiedad intelectual, sino que abre la puerta a ataques masivos a través de la distribución de software. Para las organizaciones, esto refuerza la necesidad de implementar:
- Auditorías de dependencias: Monitoreo constante de los paquetes de terceros y sus actualizaciones.
- Autenticación multifactor (MFA): Protección estricta de las cuentas de mantenedores y repositorios.
- Estrategias de Zero Trust: Asumir que cualquier componente externo puede estar comprometido hasta que se demuestre lo contrario.
Desde Intedya, enfatizamos la importancia de integrar la seguridad en el ciclo de vida del desarrollo (DevSecOps) como una medida fundamental para mitigar los riesgos inherentes a la cadena de suministro moderna.
Fuentes
- Bleeping Computer — Microsoft links Mastra AI supply chain attack to North Korean hackers
https://www.bleepingcomputer.com/news/security/microsoft-links-mastra-ai-supply-chain-attack-to-north-korean-hackers/