SlowMist detectó actividades maliciosas de ataque a la cadena de suministro dirigidas a usuarios de npm y desarrolladores DeFi.

Foresight News informa, según la monitorización de SlowMist, que MistEye detectó una actividad coordinada maliciosa en la cadena de suministro de npm. Esta actividad aprovecha repositorios de código falsos de bots de trading y paquetes npm con temática DeFi para distribuir herramientas de robo de información en JavaScript a usuarios de npm, desarrolladores de DeFi y operadores de bots de trading.

La operación involucra 30 paquetes npm maliciosos, incluyendo stake-math@3.5.4, que aparece como dependencia bloqueada en donoaccestag/forex-mt5-trading-bot. Este repositorio muestra señales claras de comportamiento anómalo: depende de paquetes npm maliciosos previamente reportados por seguridad y tiene alrededor de 2.300 forks altamente homogéneos, probablemente generados en masa, concentrados principalmente bajo la cuenta poly-stocks.

Las acciones de los posibles atacantes incluyen el robo de datos locales sensibles, como billeteras de criptomonedas, cookies de navegador, contraseñas guardadas, historial de navegación, credenciales de desarrollador, historial de shell, bóvedas de gestores de contraseñas, claves privadas, frases semilla y tokens de API presentes en el código fuente. Se recomienda a los desarrolladores eliminar de inmediato los paquetes npm afectados, auditar los archivos package.json / package-lock.json y los registros de CI para buscar estos 30 paquetes maliciosos, considerar cualquier sistema donde se haya ejecutado npm install como potencialmente comprometido, reemplazar de manera urgente billeteras, claves privadas, tokens npm, credenciales de la nube, claves SSH y tokens de API que hayan podido exponerse, y reconstruir los entornos afectados desde una imagen limpia.