Un nuevo variante de Shai-Hulud, un malware autorreproductivo orientado a la cadena de suministro, ha sido identificado en la escena real, afectando a más de 1,300 paquetes de npm y dejando tras de sí un rastro de credenciales robadas y secretos expuestos. Aikido, un equipo de investigación en seguridad, reportó que al menos 868 paquetes, distribuidos en 1,381 versiones, fueron comprometidos por este gusano. Este hallazgo subraya una preocupante realidad: las dependencias de código abierto y las pipelines de CI/CD pueden convertirse en vectores potentes para atacantes que buscan escalar privilegios y obtener acceso a datos sensibles.

Qué significa ChainDrop en el contexto de la cadena de suministro de software:
– Cadena de compromiso: ChainDrop se infiltra a través de repositorios de proyectos dependientes, empujando cambios maliciosos directamente a las ramas principales y emitiendo nuevas versiones de los paquetes afectados. En este caso, las bibliotecas afectadas incluyen Keyv, Cacheable, flat-cache y file-entry-cache, entre otras, con alcance a organizaciones reconocidas como Deliveroo, Ornikar, OneReach, Picsart, Qlik y ServiceTitan.
– Alcance de distribución: los paquetes comprometidos reportan un volumen de descargas cercano a los miles de millones mensuales cuando se suman las descargas de todas las versiones comprometidas, lo que facilita la propagación del malware a través de numerosos proyectos y entornos de desarrollo.
– Exfiltración de credenciales: una vez en el sistema, el malware roba credenciales de desarrolladores y de la nube, claves API y otros secretos, los cuales se encriptan y envían a un repositorio público de GitHub denominado “Shai-Hulud: Here We Go Again”.
– Amplificación de impacto: además de credenciales, el malware roba archivos de configuración locales, tokens de GitHub (ghp_, gho_, ghs_), tokens de npm, secretos de GitHub Actions, credenciales de AWS y secretos de Kubernetes, entre otros.

Implicaciones para administradores y equipos de seguridad:
– Toma de conciencia inmediata: cuando se detecta una campaña como ChainDrop, los administradores deben tratar los sistemas afectados —incluidos estaciones de trabajo de desarrolladores y entornos de ejecución de CI/CD— como comprometidos, incluso después de eliminar los paquetes maliciosos. Esto implica realizar escaneos de credenciales y revisiones de acceso para detectar cualquier uso indebido posterior.
– Verificación de dependencias: se recomienda auditar las dependencias directas e indirectas y considerar medidas como la reversión de cambios recientes, rotación de credenciales expuestas y fortalecimiento de políticas de control de versiones en repositorios críticos.
– Protección de CI/CD: fortalecer las pipelines para evitar que cambios maliciosos pasen por las revisiones automáticas, habilitar escaneos de seguridad en cada commit y limitar el uso de tokens y credenciales sensibles dentro de los flujos de trabajo.
– Monitorización continua: mantener vigilancia sobre movimientos sospechosos en repositorios y dependencias, así como alertas ante la distribución de versiones nuevas de paquetes afectados.

Contexto y antecedentes:
En mayo de 2026, actores que se atribuyen a un grupo conocido como TeamPCP publicaron el código fuente del gusano Shai-Hulud, abriendo la puerta a campañas paralelas y variantes copiadas. Esta situación ha generado múltiples campañas imitadoras y variantes, entre ellas la versión identificada por Aikido como ChainDrop. El patrón común es la explotación de bibliotecas ampliamente utilizadas y la publicación de versiones comprometidas que introducen malware en grandes ecosistemas de desarrollo.

Conclusión: la seguridad en la cadena de suministro de software requiere una combinación de monitoreo continuo, controles de acceso reforzados y prácticas de rotación de credenciales. La historia de ChainDrop resalta la necesidad de respuestas coordinadas entre equipos de seguridad, desarrolladores y operaciones para mitigar el impacto de incidentes que aprovechan bibliotecas de uso cotidiano en proyectos críticos.

from Latest from TechRadar https://ift.tt/kzDyeur
via IFTTT IA