El desafío de la seguridad en el ecosistema Open Source
Recientemente, una sofisticada campaña de malware ha puesto en jaque las defensas tradicionales del ecosistema npm. Según informes de investigadores de Checkmarx, un conjunto de paquetes maliciosos, encabezados por indexed-btree, ha logrado evadir las medidas de seguridad más recientes de GitHub al ocultar su código malicioso no en los scripts de instalación, sino en el comportamiento de ejecución (runtime) normal del paquete.
¿Cómo evaden las protecciones actuales?
En junio de 2026, GitHub implementó medidas para bloquear scripts de ciclo de vida automáticos como preinstall o postinstall, a menos que fueran aprobados explícitamente por el usuario. Sin embargo, los atacantes han encontrado una vía alternativa: ocultar el cargador del malware dentro de métodos legítimos de la librería, como BTree.prototype.set().
Debido a que este método es fundamental para el funcionamiento de la librería, el código malicioso se activa de forma natural cuando la aplicación realiza llamadas estándar durante su ejecución. Esto permite que la instalación parezca completamente limpia, evitando cualquier mecanismo de alerta o aprobación de las versiones más recientes de npm.
Impacto y alcance de la campaña
El paquete indexed-btree, diseñado para suplantar a la popular librería legítima sorted-btree, llegó a acumular cifras alarmantes de descargas antes de ser detectado. Además, se han identificado otros nueve paquetes vinculados a la misma operación, incluyendo:
btree-core(con casi 2 millones de descargas)ordered-kv-indexbtree-leaderboardpriority-slot-queue
Una vez activado, el malware recolecta detalles técnicos del sistema (arquitectura, hostname, CPU, memoria) y exfiltra la información a través de canales de Slack y Telegram. Además, utiliza contratos inteligentes en la red de prueba de Ethereum (Sepolia) para recibir comandos de control (C2), demostrando un alto nivel de sofisticación técnica.
Recomendaciones para empresas y desarrolladores
Desde el blog corporativo de Intedya, recordamos a las organizaciones que la seguridad en el desarrollo de software no puede limitarse al momento de la instalación. Es imperativo adoptar un enfoque de defensa en profundidad:
- Análisis de comportamiento en runtime: No confíe únicamente en los escaneos estáticos de paquetes. Implemente herramientas que monitoricen comportamientos anómalos durante la ejecución de las aplicaciones.
- Auditoría de dependencias: Verifique la legitimidad de los paquetes y sus autores. Desconfíe de librerías con nombres sospechosamente similares a las oficiales (typosquatting).
- Respuesta ante incidentes: Si sospecha que ha instalado uno de estos paquetes, es crucial rotar todos los secretos y credenciales del entorno afectado y restaurar el sistema desde una copia de seguridad segura.
La ciberseguridad es un proceso continuo que requiere vigilancia constante sobre cada eslabón de nuestra cadena de suministro digital.
Fuentes
- Bleeping Computer — Malicious npm packages evade install-script defenses at runtime
https://www.bleepingcomputer.com/news/security/malicious-npm-packages-evade-install-script-defenses-at-runtime/