El riesgo en la cadena de suministro: El caso de ‘debug’ y ‘chalk’
Amazon Threat Intelligence ha publicado recientemente un informe que vincula formalmente el secuestro de paquetes npm ampliamente utilizados, como debug y chalk, con el grupo de amenazas norcoreano conocido como Sapphire Sleet. Este incidente, que inicialmente se registró en septiembre de 2025, afectó a más de 18 paquetes que, en conjunto, acumulaban más de 2.000 millones de descargas semanales.
Durante meses, el ataque fue clasificado simplemente como un robo de criptoactivos. Sin embargo, la nueva investigación de Amazon, realizada con un nivel de confianza medio, conecta este incidente con la campaña que comprometió la popular librería axios en marzo de 2026, revelando una operación de espionaje y robo financiero a gran escala ejecutada por actores estatales.
Ingeniería social: El eslabón más débil
El modus operandi de Sapphire Sleet no se basó en la explotación de vulnerabilidades complejas en el código, sino en la ingeniería social. Los atacantes utilizaron dominios que suplantaban la identidad del registro oficial de npm para engañar a los mantenedores de los paquetes mediante técnicas de phishing.
Una vez que obtenían las credenciales de los desarrolladores legítimos, publicaban actualizaciones maliciosas que incluían scripts diseñados para:
- Interceptar transacciones de carteras de criptomonedas (wallet-draining).
- Inyectar backdoors en entornos de desarrollo.
- Establecer comunicación con servidores de comando y control (C2).
Contexto técnico: Sapphire Sleet y sus múltiples alias
Sapphire Sleet es un grupo de ciberespionaje vinculado a Corea del Norte que otros expertos en seguridad rastrean bajo nombres como BlueNoroff, UNC1069 o Stardust Chollima. Su principal motivación suele ser financiera, buscando evadir sanciones internacionales mediante el robo de activos digitales, aunque sus capacidades de intrusión en la cadena de suministro de software representan una amenaza crítica para la integridad del software global.
Amazon identificó que el grupo utilizó un archivo malicioso llamado core.js, que se hacía pasar por una librería legítima, para descargar una segunda etapa del ataque específica para el sistema operativo de la víctima, utilizando cifrados XOR para evadir la detección básica.
Lecciones para el entorno empresarial
Este incidente resalta la importancia de la seguridad en la cadena de suministro de software (Software Supply Chain Security). Para las empresas, el uso de librerías de código abierto es esencial para la agilidad, pero introduce riesgos si no se gestionan adecuadamente.
A raíz de estos ataques, el ecosistema npm ha implementado mejoras significativas, como la desactivación por defecto de scripts de ciclo de vida en la instalación (v12) y el escaneo de malware en tiempo de publicación. No obstante, la responsabilidad de verificar las dependencias y monitorizar comportamientos anómalos en los entornos de desarrollo sigue siendo una prioridad para los departamentos de ciberseguridad.
En Intedya, recomendamos a las organizaciones reforzar sus políticas de gestión de dependencias, implementar autenticación de doble factor (2FA) obligatoria para sus desarrolladores y realizar auditorías periódicas de los componentes de terceros integrados en sus productos de software.
Fuentes
- The Hacker News — Amazon Links Debug and Chalk npm Hijack to North Korea’s Sapphire Sleet
https://thehackernews.com/2026/07/amazon-links-debug-and-chalk-npm-hijack.html