Actualizar una biblioteca abrió la puerta a Pyongyang: hackers norcoreanos se esconden en código usado en todo el mundo

Si los atacantes consiguen suplantar con éxito una biblioteca popular, pueden abrir una vía hacia miles de sistemas corporativos. Según nuevos datos de Amazon, los hackers norcoreanos han aplicado este esquema desde hace tiempo a una escala mucho mayor de la que se creía anteriormente.

Expertos de Amazon determinaron que el mismo grupo, que actúa en interés de Corea del Norte, comprometió cuatro paquetes populares de JavaScript. Los ataques afectaron a typo-crypto, debug, chalk y axios y ocurrieron desde marzo de 2025. Anteriormente, solo se atribuía a los hackers norcoreanos la intrusión en axios, que se descarga más de 100 millones de veces por semana.

El vínculo entre los episodios lo indicaron el código reutilizado y métodos de ataque similares. Amazon calificó la fiabilidad de la conclusión como media. Al grupo se le sigue la pista bajo varios nombres, incluidos Sapphire Sleet, Stardust Chollima, BlueNoroff, CageyChameleon y Alluring Pisces.

En los cuatro casos los atacantes engañaron al desarrollador en quien confiaba la comunidad, obtuvieron acceso al proyecto y publicaron una actualización con código malicioso. Las empresas que configuraron la instalación automática de versiones nuevas podían añadir inadvertidamente el paquete infectado a sus propios sistemas.

Un ataque similar a la cadena de suministro ahorra esfuerzo a los hackers. En lugar de atacar cada organización por separado, basta con infiltrarse en varias bibliotecas que los desarrolladores usan como bloques constructivos listos. Una vez que se publica la actualización infectada, el código malicioso se propaga junto con los paquetes habituales.

Los proyectos de código abierto son especialmente vulnerables a este tipo de esquemas, ya que muchas bibliotecas son mantenidas por voluntarios. Ellos corrigen errores, revisan cambios de terceros y publican nuevas versiones sin recibir pago constante. Los atacantes se aprovechan de la confianza de la comunidad: durante meses ayudan al proyecto, corrigen errores y gradualmente obtienen privilegios adicionales.

Amazon también advirtió que las modificaciones maliciosas son cada vez más difíciles de detectar. Los hackers reparten el ataque entre varios paquetes, cada uno de los cuales por separado parece inofensivo. Uno almacena datos cifrados, otro contiene el código de descifrado y un tercero descarga y ejecuta el programa final. El comportamiento peligroso se manifiesta solo cuando todos los componentes funcionan juntos.

Las herramientas de inteligencia artificial plantean una amenaza adicional. Con ellas, los atacantes escriben código pulcro, elaboran descripciones convincentes de los proyectos y falsifican perfiles de desarrolladores. Desaparecen los errores y las rarezas que antes ayudaban a reconocer rápidamente una suplantación.

Los hackers también pueden aprovechar las imprecisiones de los asistentes de programación. Si ese asistente sugiere una biblioteca inexistente, los atacantes pueden registrar el nombre disponible y subir bajo él un paquete malicioso. Luego el desarrollador o un sistema automático instalarán el programa sin percatarse de la recomendación errónea.

Corea del Norte ha usado ciberataques desde hace tiempo no solo para espionaje, sino también para obtener dinero. Grupos vinculados a Pionyang roban criptomonedas, extorsionan y colocan a sus empleados en empresas extranjeras haciéndolos pasar por especialistas remotos. Según estimaciones de las autoridades de Estados Unidos, los fondos obtenidos ayudan a evadir sanciones y financiar los programas de misiles y nucleares del país.