Investigadores de seguridad descubren una campaña quirúrgica de cinco meses que utiliza la confianza en el ecosistema npm para alojar páginas de phishing y atacar a empleados clave en infraestructuras críticas.
El registro npm, el corazón del desarrollo en JavaScript, ha sido abusado nuevamente. Un nuevo informe ha revelado que actores maliciosos han publicado 27 paquetes falsos no para atacar a los desarrolladores directamente, sino para convertir la infraestructura de npm en un “hosting a prueba de balas” para campañas de spear-phishing (phishing dirigido).
Según la investigación, esta operación ha estado activa durante cinco meses y se ha centrado en 25 organizaciones específicas en los sectores de manufactura, automatización industrial, salud y plásticos en Estados Unidos y naciones aliadas.
¿Cómo funciona el ataque?
A diferencia de los ataques tradicionales a la cadena de suministro que buscan instalar malware en la máquina del desarrollador, esta campaña utiliza un enfoque diferente:
- Alojamiento en CDNs: Los atacantes suben paquetes con nombres como onedrive-verification, secure-docs-app o androidvoues al registro de npm.
- Infraestructura Legítima: Al estar alojados en npm, estos archivos se distribuyen automáticamente a través de Redes de Entrega de Contenido (CDNs) globales y de confianza. Esto hace que las páginas de phishing sean extremadamente difíciles de bloquear por los filtros de seguridad corporativos, ya que el tráfico proviene de dominios legítimos.
- El Señuelo: Los paquetes contienen código HTML y JavaScript que simula portales de documentos compartidos y pantallas de inicio de sesión de Microsoft.
- Ataque Dirigido: Los correos de phishing enviados a las víctimas (gerentes de ventas y desarrollo de negocios) enlazan directamente a estos recursos alojados en npm. El formulario de phishing incluso viene con el correo de la víctima pre-rellenado.
Evasión y Sofisticación
Los atacantes han implementado medidas avanzadas para evitar ser detectados por los analistas de seguridad:
- Verificación Humana: El código malicioso requiere interacción del ratón o táctil antes de mostrar el formulario de robo de credenciales, evadiendo así a los “crawlers” automatizados.
- Honeypots: Incluyen campos de formulario invisibles (“honeypots”) que, si son rellenados (algo que solo haría un bot), bloquean la ejecución del ataque.
- Infraestructura AiTM: Los dominios utilizados para la recolección de credenciales se superponen con la infraestructura de Evilginx, un kit conocido para ataques de “Adversary-in-the-Middle” capaz de eludir la autenticación multifactor (MFA).
Objetivos Específicos
La lista de objetivos es inquietantemente precisa. Se encontraron direcciones de correo electrónico “hardcodeadas” pertenecientes a personal en Austria, Bélgica, Canadá, Francia, Alemania, Italia, España, Taiwán, Turquía, Reino Unido y EE. UU.
Se sospecha que los atacantes obtuvieron estos datos de listas de asistentes a grandes ferias comerciales internacionales como Interpack y K-Fair, combinando esta información con reconocimiento en la web abierta.
Recomendaciones
- Monitorear el tráfico CDN: Vigilar solicitudes inusuales a CDNs de paquetes de código (como unpkg o jsdelivr) que provengan de contextos no relacionados con el desarrollo.
- MFA Resistente al Phishing: Implementar llaves de seguridad físicas (FIDO2) que no puedan ser engañadas por ataques de intermediario como Evilginx.
