Basta con pulsar "Enter": 50.000 sistemas entregaron sus contraseñas a hackers sin ejecutar código

Un paquete malicioso en el registro público npm acumuló decenas de miles de instalaciones en solo unos días y mostró lo rápido que se propaga el riesgo en la cadena de suministro incluso sin comprometer bibliotecas populares.

El equipo de Tenable Research analizó el paquete «ambar-src», que se descargó aproximadamente 50 000 veces antes de que lo retiraran del registro. El paquete estaba dirigido a desarrolladores y preparado para Windows, Linux y macOS. Según Tenable, «ambar-src» no tenía usos legítimos, por lo que consideran maliciosas todas las versiones.

La propagación se relaciona con el typosquatting. Los autores del ataque, según Tenable, intentaron hacerse pasar por el paquete popular «ember-source», que cuenta con millones de descargas. El paquete se publicó por primera vez el 13 de febrero de 2026, y el 16 de febrero se publicó una versión con código malicioso. La plataforma npm retiró el paquete el 16 de febrero a las 17:02:44 UTC, menos de cinco horas después de la aparición de la versión infectada. Paralelamente, se emitió una advertencia en GitHub Advisory, marcando el paquete como malicioso.

El detalle clave del ataque fue la ejecución de código durante la instalación mediante el hook de ciclo de vida preinstall. Tenable subraya que bastaba con la propia instalación con «npm install» o con agregar la dependencia, sin importar ni invocar código en el proyecto. En el interior había un archivo index.js que se hacía pasar por un conjunto de utilidades y lógica inofensiva, y el comando malicioso se ocultaba en codificación hexadecimal. A continuación se llevaba a cabo una cadena dependiente del sistema operativo: el instalador descargaba un cargador desde un servidor remoto y ejecutaba la carga útil.

En la rama para Windows se detectó la descarga del archivo «msinit.exe». Según la descripción de Tenable, el ejecutable contenía shellcode cifrado que se descifraba y cargaba en memoria al ejecutarse. En la rama para Linux se descargaba un script bash, luego se descargaba un binario ELF, se guardaba como «osa» y se ejecutaba.

El análisis de metadatos de la compilación indicó el uso de una herramienta open source de shell inverso en Go del proyecto NHAS/reverse_ssh. En la rama de macOS usaron «nohup» para que la instalación no se bloqueara, y luego, mediante osascript, ejecutaron una gran carga útil en JavaScript llamada Apfell de la familia MythicAgents. Tenable enumeró las capacidades de Apfell, entre las que se incluyen la recopilación de información básica, capturas de pantalla, el robo de datos de Google Chrome y solicitudes de contraseña fraudulentas.

Para descargar los componentes iniciales, los atacantes usaron un dominio separado, y tras la infección diversas cargas se comunicaban con la infraestructura de mando y control a través de un servicio en la nube de funciones. Tenable clasifica este enfoque como una técnica para ocultar el tráfico malicioso como peticiones a servicios web legítimos, con el fin de reducir la probabilidad de bloqueo por filtros de red.

Al detectar «ambar-src», Tenable recomienda considerar el host completamente comprometido y cambiar secretos y claves desde un dispositivo confiable y separado. La simple eliminación del paquete no garantiza la limpieza del sistema, ya que los atacantes podrían haberse afianzado por otros medios.