Los investigadores de ciberseguridad han impresionado un ataque de la dependencia de suministro que se dirige a más de una docena de paquetes asociados con Gluestack para entregar malware.
El malware, introducido a través de un cambio a «lib/commonjs/index.js», permite que un atacante ejecute comandos de shell, tome capturas de pantalla y cargue archivos a máquinas infectadas, dijo Aikido Security a Hacker News, indicando que estos paquetes representan colectivamente casi 1 millón de descargas semanales.
El acercamiento no facultado podría estilarse para realizar varias acciones de seguimiento como la criptomoneda minera, robar información confidencial e incluso cerrar los servicios. Aikido dijo que el primer compromiso del paquete se detectó el 6 de junio de 2025 a las 9:33 pm GMT.
La letanía de los paquetes impactados y las versiones afectadas está a continuación –
- @Gluestack-UI/Utils lectura 0.1.16 (101 descargas)
- @Gluestack-UI/Utils lectura 0.1.17 (176 descargas)
- @react-native-aria/capullo lectura 0.2.11 (174 descargas)
- @React-Native-Solo/CheckBox Version 0.2.11 (577 descargas)
- @react-native-aria/comboBox lectura 0.2.8 (167 descargas)
- @react-native-aria/divulgación lectura 0.2.9 (n/a)
- @react-native-aria/focus lectura 0.2.10 (descargas 951)
- @react-native-aria/interacciones lectura 0.2.17 (420 descargas)
- @react-native-aria/listbox lectura 0.2.10 (171 descargas)
- @React-Native-Solo/Menú lectura 0.2.16 (54 descargas)
- @react-native-aria/superposición lectura 0.3.16 (751 descargas)
- @react-native-aria/radiodifusión lectura 0.2.14 (570 descargas)
- @react-native-aria/slider lectura 0.2.13 (264 descargas)
- @react-native-aria/switch lectura 0.2.5 (56 descargas)
- @React-Native-Solo/Tabs lectura 0.2.14 (170 descargas)
- @react-native-aria/toggle lectura 0.2.12 (589 descargas)
- @react-native-aria/utils lectura 0.2.13 (341 descargas)
Encima, el código sagaz inyectado en los paquetes es similar al troyano de acercamiento remoto que se entregó a posteriori del compromiso de otro paquete NPM «Rand-User-Agent» el mes pasado, lo que indica que la misma amenaza que los actores podrían estar detrás de la actividad.
El troyano es una lectura actualizada que admite dos nuevos comandos para cosechar información del sistema («SS_INFO») y la dirección IP pública del host («SS_IP»).
Desde entonces, los mantenedores de proyectos han revocado el token de acercamiento y han impresionado las versiones afectadas como desaprobadas. Se recomienda a los usuarios que hayan descargado las versiones maliciosas para regresar a una lectura segura para mitigar las posibles amenazas.
«El impacto potencial es de escalera masivo, y el mecanismo de persistencia del malware es particularmente preocupante: los atacantes mantienen el acercamiento a máquinas infectadas incluso a posteriori de que los mantenedores actualicen los paquetes», dijo la compañía en un comunicado.
Paquetes maliciosos que se encuentran en NPM UnleaAsh Destructive Features
El explicación se produce cuando Socket descubrió dos paquetes de NPM deshonestos: expreso-api-sync y sistema-salud-sync-api, que se disfrazan de utilidades legítimas pero implantan limpiaparadores que pueden eliminar enteros directorios de aplicaciones.
Publicado por la cuenta «BotSailer» (correo electrónico: anupm019@gmail (.) Com), los paquetes se descargaron 112 y 861 veces, respectivamente, ayer de ser retirados.
El primero de los dos paquetes, Express-API-Sync, afirma ser una API expresa para sincronizar datos entre dos bases de datos. Sin requisa, una vez instalado y adjunto por un desarrollador desprevenido a su aplicación, desencadena la ejecución del código sagaz al tomar una solicitud HTTP con una esencia codificada «default_123».
Al tomar la esencia, ejecuta el comando UNIX «RM -RF *» para eliminar recursivamente todos los archivos del directorio contemporáneo y a continuación, incluidos el código fuente, los archivos de configuración, los activos y las bases de datos locales.
El otro paquete es mucho más sofisticado, actuando como un robador de información y un limpiaparabrisas, al tiempo que modifica sus comandos de exterminio en función de si el sistema operante es Windows («RD /S /Q.») o Linux («RM -RF *»).
«Donde Express-API-Sync es un útil elocuente, el sistema-sincronización de sanidad del sistema es una cortaplumas de destrucción del ejército suizo con una compilación de inteligencia incorporada», dijo el investigador de seguridad Kush Pandya.
Un aspecto importante del paquete NPM es que utiliza el correo electrónico como canal de comunicación estafa, que se conecta al compartimiento controlado por el atacante a través de credenciales SMTP codificadas. La contraseña se ofusca utilizando Base64-Ecoding, mientras que el nombre de sucesor apunta a una dirección de correo electrónico con un dominio asociado con una agencia de caudal raíces con sede en India («Auth@Corehomes (.) IN»).
«Cada evento significativo desencadena un correo electrónico a anupm019@gmail (.) Com», dijo Socket. «El correo electrónico incluye la URL de backend completa, que potencialmente expone los detalles de la infraestructura interna, los entornos de explicación o los servidores de estadificación que no deben conocerse públicamente».
El uso de SMTP para la exfiltración de datos es astuto ya que la mayoría de los firewalls no bloquean el tráfico de correo electrónico saliente, y permite que el tráfico sagaz se mezcle con los correos electrónicos de aplicaciones legítimas.
Encima, el paquete resiste los puntos finales en «/_/sistema/sanidad» y «/_/sys/mantenimiento» para liberar los comandos de destrucción específicos de la plataforma, y este postrero actúa como un mecanismo de devolución en caso de que la puerta trasera principal se detecte y bloquee.
«Los atacantes primero verifican la puerta trasera a través de Get/_/System/Health que devuelve el nombre y el estado de host del servidor», explicó Pandya. «Pueden probar con el modo de manejo seco si está configurado, luego ejecute la destrucción usando post/_/system/sanidad o la copia de seguridad de la publicación/_/sys/mantenimiento final con la esencia» helloworld «.
El descubrimiento de los dos nuevos paquetes de NPM muestra que los actores de amenazas están comenzando a expandirse más allá del uso de bibliotecas falsas para información y robo de criptomonedas para centrarse en el boicoteo del sistema, poco de un explicación inusual, ya que no ofrecen beneficios financieros.
El paquete Pypi se hace acaecer por la aparejo de crecimiento de Instagram para cosechar credenciales
Asimismo se produce cuando la firma de seguridad de la dependencia de suministro de software descubrió un nuevo credencial de Python Harvester IMAD213 en el repositorio de Python Package Index (PYPI) que afirma ser una aparejo de crecimiento de Instagram. Según las estadísticas publicadas en Pepy.Tech, el paquete se ha descargado 3,242 veces.
«El malware utiliza la codificación base64 para ocultar su verdadera naturaleza e implementa un interruptor de homicidio remoto a través de un archivo de control alojado en Netlify», dijo Pandya. «Cuando se ejecuta, solicita a los usuarios las credenciales de Instagram y los transmite a diez servicios de botes de terceros diferentes mientras finge aumentar los recuentos de seguidores».
La Biblioteca de Python ha sido cargada por un sucesor llamado IM_AD__213 (asimismo conocido como IMAD-213), quien se unió al registro el 21 de marzo de 2025, y ha subido otros tres paquetes que pueden cosechar Facebook, Gmail, Twitter y VK Credentials (Taya, A-B27) o apalancamiento de las plataformas de transmisión de la transmisión de la transmisión y APIS con la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión de la transmisión a la transmisión. (Poppo213).
La letanía de paquetes, que todavía están disponibles para descargar desde Pypi, está a continuación –
- IMAD213 (3,242 descargas)
- Taya (930 descargas)
- A-B27 (996 descargas)
- Poppo213 (3,165 descargas)
En un documento GitHub ReadMe.MD publicado por IMAD-213 aproximadamente dos días ayer de que «IMAD213» fuera cargado a Pypi, el actor de amenaza afirma que la biblioteca es principalmente de «fines educativos e de investigación» y señala que no son responsables de ningún uso indebido.
La descripción de GitHub asimismo incluye un «consejo de seguridad engañoso», instando a los usuarios a utilizar una cuenta de Instagram falsa o temporal para evitar tener problemas con su cuenta principal.
«Esto crea falsa seguridad, los usuarios piensan que están siendo cautelosos mientras dan credenciales válidas al atacante», dijo Pandya.
Una vez valiente, el malware se conecta a un servidor extranjero y lee un archivo de texto («pass.txt») y continúa con la ejecución solo si el contenido del archivo coincide con la dependencia «IMAD213». El interruptor Kill puede cumplir múltiples propósitos, permitiendo al actor de amenaza determinar quién tiene acercamiento para ejecutar la biblioteca o apagar cada copia descargada simplemente cambiando el contexto del archivo de control.
En el futuro paso, la biblioteca solicita al sucesor que ingrese sus credenciales de Instagram, que luego se guardan localmente en un archivo llamado «credencials.txt» y transmiten a diez sitios web de servicios de BOT dudos diferentes, algunos de los cuales se vinculan a una red de herramientas de crecimiento de Instagram turco que probablemente operan por la misma entidad. Los dominios se registraron en junio de 2021.
«El surgimiento de esta credencial Harvester revela las tendencias en el malware dirigido por las redes sociales», dijo Socket. «Con diez servicios de BOT diferentes que reciben credenciales, estamos viendo las primeras etapas del lavado de credenciales, donde los inicios de sesión robados se distribuyen a través de múltiples servicios para oscurecer su origen».
