Hilos · 4 noticias en 10 días
Un AGENTS.md malicioso en la carpeta Downloads hizo que Codex instalara malware en más de 90% de los intentos (26/10)
- Noticias
- 4
- Briefings
- 4
- Empieza
- Última
-
MALFEX muda su loader de npm a un addon nativo de Windows: imgdecode, 929 descargas y ni un script de instalación (17/10)
El paquete, publicado por malfexteste8 en versiones 1.0.0 a 1.0.3, tiene un JavaScript diminuto que no hace nada visible: el trabajo sucio está en la DLL compilada, que corre durante la inicialización del módulo Node-API, antes de devolver los exports, con solo hacer require('imgdecode'). La cadena tiene dos detalles de evasión que valen la pena: solo se ejecuta si la salida estándar es una consola interactiva de Windows —con la salida redirigida, como en la mayoría de los runners de CI y los sandboxes, se va sin hacer nada— y baja un banner.jpg de un repo de GitHub, lo descifra con AES-256-CBC y lo inyecta en un dllhost.exe suspendido, con fallback a ejecutarlo dentro de node.exe. El contexto es que npm bajó los paquetes anteriores de la campaña el 28 de septiembre y el operador volvió a publicar, pasando de una cadena de varios paquetes en JavaScript a un único addon nativo; SafeDep lo vincula a MALFEX con confianza alta por hash del downloader y ubicación de staging compartidos. Indicadores para cazar: la frase nif-runtime-2027, persistencia en %APPDATA%\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe con servicio o tarea MicrosoftEdgeUpdateService, %TEMP%\svc_update.exe, y procesos dllhost.exe cuyo padre sea node.exe. Tratá cualquier estación Windows que haya cargado el paquete como comprometida, tomá memoria antes de reiniciar porque el shellcode vive ahí, y rotá credenciales, tokens de npm y GitHub y claves SSH y de nube. Reservas: SafeDep no pudo recuperar el banner.jpg, así que el enlace con el stealer de tercera etapa es una inferencia a partir de un archivo hermano, y no se sabe cuántas máquinas quedaron afectadas. SafeDep · The Hacker News
-
Un falso acelerador Web3 reparte stealers por npm y además registra un servidor MCP propio en la config del agente de la víctima (19/10)
Elastic Security Labs rastrea la campaña como REF8801: un supuesto "Apex Accelerator" que apunta a fundadores de startups cripto con señuelos de créditos gratis de Claude y Gemini, herramientas de código y auditorías de seguridad, con presencia física en eventos como TOKEN2049 en Singapur para dar el pego. Los paquetes actuales son @apexacc/cli, vendido como asesor de IA, y @apexacc/audit, presentado como servidor MCP con 18 herramientas de seguridad; en julio SafeDep ya había reportado @apexfdn/apex, @copilot-mcp/apex y @apexfdn/copilot-mcp repartiendo el stealer AMOS en macOS. La parte nueva y la que más conviene mirar es el secuestro del agente: los paquetes interceptan y redirigen el tráfico LLM de OpenRouter y agregan un servidor MCP controlado por el atacante a la configuración del agente, lo que expone prompts, historial, fragmentos de código y salidas de herramientas, y permite inyectar instrucciones y controlar las descripciones de herramientas para dirigir cuál usa el agente. Las cadenas son distintas por sistema: en Windows un comando PowerShell en Base64 baja un loader de PyInstaller que intenta bypass de UAC y después un loader en Go que desactiva AMSI y ETW, desengancha ntdll.dll y corre el stealer con exfiltración por Telegram; en macOS un script bash instala el backdoor CloudSyncD y muestra un prompt de autorización falso para capturar la contraseña de login. De yapa, las herramientas de auditoría fabrican hallazgos falsos. Los paquetes y repos ya no están accesibles; los dominios para cazar son apexaccs[.]org, apexfdn[.]xyz, 0auth-chromium[.]com y ccmihr[.]com, entre otros, y si alguna máquina cargó esto hay que rotar credenciales, claves de wallet y sesiones de navegador, y revisar la config de MCP del agente buscando servidores desconocidos. The Hacker News · SafeDep
-
Un AGENTS.md malicioso en la carpeta Downloads hizo que Codex instalara malware en más de 90% de los intentos (26/10)
El caso lo reporta Forever Security sobre la máquina de un cliente real, y lo frenaron antes de que corriera código; no pudieron determinar cómo llegó el archivo. El archivo estaba disfrazado de notas de ingeniería y le pedía al agente agregar un servidor a su configuración e instalar el paquete npm function-color, que a su vez trae el downloader function-flag que baja y corre un payload de Windows —la campaña es la que CloudSEK y Checkmarx llaman MALFEX—. En VM aislada, el archivo real del atacante consiguió que Codex registrara el servidor malicioso en ~/.codex/config.toml, que aplica a todas las sesiones de la máquina, y que corriera el malware en más de 90% de los intentos; con un CLAUDE.md plantado que intentaba setear ANTHROPIC_BASE_URL para desviar el tráfico de API y filtrar el token de login, Claude suele negarse pero con un envoltorio largo de documento de ingeniería lo aprobó cerca de la mitad de las veces. La lista de acciones para hoy es corta: no arrancar agentes en ~/Downloads (la mitad de los clientes de Forever lo hace), leer todo AGENTS.md o CLAUDE.md que uno no escribió incluyendo los de repos recién clonados, revisar ~/.codex/config.toml y.claude/settings.json por bloques de servidor o base URLs desconocidas, y si aparece un archivo plantado, asumir que el token se filtró y rotarlo. Forever dice que acá no hay nada que parchear de lado de OpenAI o Anthropic: el agente siguió sus instrucciones como está diseñado. The Hacker News
-
Repos: NVIDIA abre SkillSpector, un escáner de seguridad para skills de agentes, con 71 patrones y chequeo de CVEs (27/10)
Es la pregunta que nadie estaba haciéndose hasta esta semana —"¿es seguro instalar esta skill?"— y llega justo después de lo de ayer, cuando un AGENTS.md plantado en la carpeta Downloads logró que Codex instalara malware en más de 90% de los intentos. Escanea repos de Git, URLs, zips, directorios o archivos sueltos de skills de Claude Code, Codex CLI y MCP, busca 71 patrones de vulnerabilidad en 17 categorías —inyección de prompt, exfiltración de datos, escalada de privilegios, riesgos de cadena de suministro y firmas YARA— y revisa CVEs de las dependencias con consultas en vivo a OSV.dev y fallback offline. El análisis estático es rápido y el semántico con LLM es opcional (--no-llm lo apaga). Se instala con uv tool install git+ se corre con skillspector scan./mi-skill/, saca reportes en terminal, JSON, Markdown o SARIF con puntaje de riesgo de 0 a 100, y se puede levantar como servidor MCP (skillspector mcp) para que los propios agentes lo llamen, con archivo de baseline para silenciar hallazgos conocidos. Apache 2.0, y es parte del pipeline de NVIDIA Verified Skills. GitHub
El hilo se arma solo en cada build: junta noticias de días distintos que nombran a la misma entidad y repiten vocabulario que casi no aparece en el resto del archivo. Nadie lo edita a mano, así que puede dejar afuera una noticia o sumar una de al lado.