Los ciberdelincuentes están perfeccionando sus técnicas de engaño, esta vez apuntando directamente a los desarrolladores mediante la simulación de procesos de instalación legítimos en la terminal.
El ecosistema de código abierto enfrenta una amenaza altamente engañosa diseñada para eludir el escepticismo de los programadores experimentados. Este 24 de marzo de 2026, se reporta el descubrimiento de la “Campaña Fantasma” (Ghost campaign), una operación maliciosa basada en la publicación de siete paquetes alterados en el registro npm con el objetivo de robar billeteras de criptomonedas y credenciales de acceso.
Ingeniería Social en la Terminal
Descubierta por investigadores de seguridad, esta campaña comenzó a principios de febrero y destaca por su novedoso y sofisticado método de ocultación. Los siete paquetes maliciosos fueron publicados por un único usuario bajo el seudónimo mikilanjillo y comparten una estructura de código diseñada para sembrar confusión.
El ataque se basa en un engaño visual muy convincente durante la ejecución del administrador de paquetes:
- El código malicioso inunda la consola del desarrollador con registros de instalación falsos (logs) que imitan perfectamente el comportamiento estándar y legítimo de npm.
- Para darle mayor realismo, la terminal muestra mensajes sobre la descarga de supuestas dependencias (usando nombres de librerías aleatorios extraídos de una lista predefinida), barras de progreso e incluso inserta retrasos temporales para simular una conexión de red lenta o procesos de descompresión pesados.
- En medio de esta falsa instalación, el script lanza un prompt solicitando al usuario que ingrese su contraseña de administrador (sudo), bajo la excusa de tener que corregir un supuesto error de permisos o realizar tareas críticas de optimización.
El Troyano Final
Si el desarrollador cae en la trampa de phishing e ingresa su contraseña sudo, el paquete la captura y utiliza silenciosamente esos máximos privilegios para ejecutar la fase final del ataque en segundo plano. El malware de etapa final es un Troyano de Acceso Remoto (RAT) personalizado, capaz de robar billeteras de criptomonedas, recolectar información confidencial del sistema y recibir comandos remotos desde un servidor de Comando y Control (C2).
Los investigadores sospechan que el alto nivel de reutilización de código y las técnicas observadas indican que esta campaña podría ser la prueba preliminar de una operación a gran escala dirigida a los desarrolladores del sector criptográfico. Como medida de mitigación, se insta a los equipos de desarrollo a evitar ingresar contraseñas sudo de forma instintiva durante la instalación de paquetes de terceros, verificar minuciosamente el historial de los autores en los repositorios públicos y utilizar herramientas automatizadas de validación y escaneo de seguridad en sus entornos de integración continua.
