-
wfx-loot: 4.837 cuentas de GitHub comprometidas empujaron un ladrón de secretos de CI a 61.764 repositorios, y la persistencia que dejó en la nube sobrevive a rotar los secretos (10-12/11)
La campaña arrancó el 10/11 y Aikido, que la nombró con las etiquetas del propio atacante, contó que el payload corrió en más de 1.800 repos. El método es lo que hay que entender para buscarlo: primero un pull request de sondeo titulado "docs: dependency audit notes" para probar si hay permiso de escritura —unos 10.431 de esos cayeron en repos que las cuentas comprometidas no poseían, alcanzados por acceso de colaborador u organización, y 92% seguía abierto al momento del reporte—; después un script de shell de unas 1.500 líneas inyectado en un workflow existente, en un hook de npm install o en un workflow nuevo sobre una rama descartable; y en alrededor de un minuto, revertir el cambio y borrar la corrida y sus logs. El script se lleva secrets de Actions, archivos de credenciales de cloud y SSH, historiales de shell y tokens de herramientas de IA —OpenAI, Anthropic, Cursor, Copilot— a dos servidores por HTTP. La parte que no se arregla rotando: con lo robado creó access keys de larga vida en AWS, modificó la trust policy de un rol de AWS para aceptar cualquier cuenta, y agregó credenciales federadas en aplicaciones de Azure. Lo accionable es doble, rotar todo secreto alcanzable por los workflows afectados y además ir a buscar y borrar esos cambios de trust policy y esas credenciales federadas en cada cuenta cloud vinculada. Buscar la rama wfx-docs, el PR de sondeo, o commits titulados "ci: refresh build cache", "chore: add ci helper" y "chore: add dependency audit workflow"; que no aparezca el artefacto no prueba nada. Llegó además a un paquete de Packagist (digitalelvis/neuronai-studio 3.14.3) y dos versiones de un módulo Go. Help Net Security · Aikido · Endor Labs · StepSecurity
Help Net Security Aikido Endor Labs StepSecurity OpenAI Anthropic Amazon GitHub GitHub Copilot
-
Cadena de suministro: el bot de release de Ethersphere publicó un bee-js 13.3.0 malicioso con provenance de npm válida, y 30 minutos después un Swarm Desktop con el mismo loader (09/11)
El commit lo hizo bee-worker, el bot del proyecto, sin firma y sin estar en ninguna rama; un release de GitHub disparó el workflow de publicación y el paquete salió con provenance correcta, porque el workflow no corre tests en builds disparados por release. Es el punto importante: la provenance verificó que el paquete salió del repo, y el repo era el que estaba comprometido. El payload agrega un postinstall que baja y ejecuta código remoto ignorando errores; la segunda etapa lee el config.yaml y el keystore swarm.key de Swarm Desktop y los exfiltra, y como el config guarda la contraseña del keystore en texto plano, la clave del nodo se recupera entera. Después persiste: en Linux y macOS un remote shell en Go llamado evjawbreaker que saca la dirección de su C2 de un contrato en Ethereum, con unidad systemd o LaunchAgent; en Windows un bypass de UAC y un cliente ScreenConnect instalado en silencio como servicio SYSTEM. La ventana fue corta —publicado 00:09 UTC, veredicto malicioso automático a las 00:13, Swarm Desktop a las 00:36, npm lo bajó cerca de 01:25— pero cualquier máquina que instaló esas versiones hay que tratarla como comprometida y mover los fondos del nodo a una clave nueva. Como los archivos de ScreenConnect son legítimos, la detección va por la dirección del relay (185.232.84.169:8041) y el ID del servicio, no por el binario. The Hacker News · SafeDep · OX Security
-
El archivo de "no me preguntes más" de Claude Code: 1.379 secretos en 1.122 copias públicas en GitHub (07/11)
Sigue de lo de ayer, donde una extensión maliciosa podía mandarle tareas a Claude Desktop: el patrón es el mismo, la comodidad de aprobar una vez pagada después. Cuando elegís "sí, y no preguntes más", Claude Code puede guardar el comando aprobado textual en.claude/settings.local.json, con la contraseña o la API key adentro; la exclusión de git aplica solo en tu máquina y la herramienta no lo agrega al.gitignore del proyecto. Apiiro encontró 104.185 copias del archivo en 103.617 repos, de las cuales 1.122 traen al menos un secreto: 379 contraseñas de base de datos, 43 accesos SSH, 42 tokens de GitHub, GitLab y npm, 23 claves de AWS. Contando versiones viejas, forks, settings.json compartidos y logs de chat, son 2.539 secretos en 1.994 repos y 63 organizaciones. El reporte original es de agosto de 2025 y lo cerró un bot por inactividad; cuatro reportes relacionados corrieron la misma suerte, el último el día anterior a la publicación. The Hacker News · AI Weekly
-
PolinRider secuestra 10 paquetes de npm y usa una billetera de Ethereum como buzón para mover su servidor de comando (07/11)
Lo identificó Sonatype Research Labs: 12 releases maliciosos sobre 10 paquetes legítimos, entre ellos seis módulos de @adminide-stack, server-hemera-mongo, cdeops, @cdmbase/wiki-browser y @pubngo-stack/help-browser. La parte interesante es el resolver: el loader consulta nodos RPC públicos de Ethereum — con la API de Blockscout como respaldo — buscando transacciones de una billetera hardcodeada, y lee los primeros cuatro bytes de la dirección destino como IP del servidor de comando y los cuatro siguientes como respaldo. Mover el servidor es mandar otra transacción, sin tocar los paquetes. Y corre al importar el módulo o arrancar el servicio, no en el install script, así que desactivar scripts de npm no alcanza. Si corriste uno de esos módulos, rotá tokens de repositorio, claves de nube y secretos de CI. Daily CyberSecurity
-
billion-context escala el trending de GitHub: un proxy que comprime el contexto y promete cinco veces menos tokens con ventanas de 100K (08/11)
Sumó 460 estrellas hoy y va por 4.872. Corre como proxy local entre tu agente y la API: parsea cada request, inyecta cuatro herramientas de contexto — compress, decompress, search_context, acp_status — y deja que el modelo decida cuándo plegar un rango de mensajes en un resumen, que después puede restaurar. El detalle de ingeniería que lo hace viable es que los resúmenes se escriben en rangos chicos e incrementales para no romper el caché de prefijo: dicen que una sesión sana mantiene 95-97% de aciertos de caché y que comprimir cuesta 2% o menos. Se instala con npm install -g billion-context, deja el comando bili, y tiene plugin nativo para pi, omp, opencode, dsh, kimi, hermes, zcode y claude, más modo launcher o prefijo de URL para Codex, Gemini CLI, Aider, Copilot CLI, Amp, Goose, Zed y una docena más. La parte a tomar con pinzas son los benchmarks: dicen primer puesto en ContextBench y 79,20% contra 62,60% del mejor RAG en LongMemEval-S, pero los resultados y el paper longitudinal están publicados en el propio repo, no verificados afuera. GitHub · GitHub Trending
GitHub GitHub Trending GitHub Gemini GitHub Copilot Gemini CLI
-
Claude Dispatch: una extensión maliciosa en claude.ai podía mandarle tareas a Claude Desktop y ejecutar código en la máquina (06/11)
Dispatch es la función que permite mandar tareas desde el teléfono a Claude Desktop, que puede correr comandos en la computadora donde está instalado. Lo que encontraron los investigadores de Forever Security —el escrito técnico lo publicó Gal Weizman— es que Dispatch aceptaba una sesión común de claude.ai con el usuario logueado, aunque el sitio no mostrara ningún vínculo con la función: una extensión corriendo en claude.ai podía entonces mandarle instrucciones a Claude Desktop como si las hubiera mandado el usuario. En la prueba, un script abrió Dispatch y mandó cuatro prompts pidiendo instalar un paquete de npm; Claude dudó, un mensaje de seguimiento lo convenció, el script clickeaba "Allow" cada un segundo, y el script de instalación del paquete abrió la Calculadora. Los investigadores dicen que con el mismo acceso se podían robar archivos o instalar un backdoor. Las precondiciones: una extensión que pueda correr scripts en claude.ai —maliciosa, legítima con una actualización comprometida, o legítima con una falla— y un usuario logueado en claude.ai y en Claude Desktop con Dispatch habilitado. La cronología de la respuesta: lo reportaron el 14 de mayo, el 19 Anthropic lo aceptó como válido pero cerró el reporte como duplicado de algo que ya había encontrado internamente, y el 13 de octubre les dijo que Dispatch se iba a retirar con fin de octubre como objetivo; la página de ayuda, actualizada la semana anterior al artículo, no menciona el retiro y dice que Dispatch está cerrado a usuarios nuevos y que los existentes de algunos planes Pro, Max y Ultra pueden seguir usándolo. Las salvedades: la prueba corrió con el navegador y Claude Desktop en la misma computadora, no hay ataques reportados en el mundo real, y el ataque entre dispositivos se describe pero no se demostró. La frase que resume el punto de los investigadores es que "Anthropic está retirando Dispatch, pero no el diseño detrás"; dicen que Claude Code Remote Control y las sesiones de Cowork podrían permitir lo mismo, sin haberlo probado. The Hacker News
-
vercel-labs/agent-desktop explota en GitHub: computer use por árbol de accesibilidad en vez de píxeles (05/11)
Es el repo que más estrellas sumó en el día entre los de infraestructura de agentes —unas 2.470, para un total de 11.800— y la idea es la que conviene robar incluso si no se usa la herramienta: en lugar de screenshots y matching de píxeles, consulta el árbol de accesibilidad del sistema operativo y devuelve JSON donde cada elemento accionable tiene un ref; el agente actúa sobre el ref y vuelve a tomar snapshot para verificar. Es un CLI más una librería C con FFI (libagent_desktop_ffi) para llamarla en proceso, Apache 2.0, con unos 56 comandos entre observación, acciones sobre refs, teclado y mouse, manejo de apps y ventanas, notificaciones, clipboard y sesiones. Todo comando devuelve un sobre único con ok más data o error, y es headless por defecto: las acciones sobre refs no mueven el puntero ni roban foco, y hay un flag global --headed para input físico de verdad. Corre en macOS, Windows y Linux en x64 y ARM64 con soporte desparejo —Linux necesita sesión gráfica con at-spi2-core—, se instala con npm install -g agent-desktop, y en macOS hay que darle permiso de Accesibilidad con agent-desktop permissions --guide. Trae documentación para agentes incorporada en agent-desktop skills get desktop. En el mismo listado del día, NVIDIA/auto-ontology —la capa semántica que aterriza el SQL de los agentes sobre metadata de bases— sumó otras 2.050 estrellas. GitHub · agents-radar
-
GitHub saca un firewall de npm que bloquea paquetes en el momento de instalar, y Rust suma periodo de enfriamiento en noviembre (29/10)
Es lo más accionable del día para cualquiera que tenga agentes o CI instalando dependencias solos, que es exactamente donde más duele un paquete envenenado. El firewall está en preview público para todos los clientes de GitHub Enterprise Cloud, incluida la versión con residencia de datos, y por ahora soporta solo npm; GitHub lo describe como una "compuerta de política en tiempo de instalación" y se para entre los clientes —agentes de código, hosts de CI/CD, registries internos— y el repositorio público, que ahora consultan a través suyo en vez de conectarse directo. Los controles que puede configurar un administrador son cinco y vale conocerlos antes de prenderlo: bloquear paquetes con avisos de malware activos en la Advisory Database de GitHub; bloquear por severidad de vulnerabilidad conocida, con default en "solo críticas" y opciones de alta o superior, media o superior, y cualquiera; bloquear una versión que perdió una atestación SLSA que las anteriores tenían; bloquear versiones que agregan por primera vez scripts de preinstall o postinstall, que es el vector clásico de robo de datos; y un periodo de enfriamiento que bloquea versiones más nuevas que una edad mínima, configurable de 1 a 365 días, con default de 1 día y 0 para desactivarlo. Si un paquete legítimo queda bloqueado, el usuario puede pedir una excepción y la aprueban administradores o security managers. El movimiento no es aislado: Rust 1.100, previsto para el 12 de noviembre de 2026, agrega edad mínima de publicación configurable con global-min-publish-age en cargo/config.toml, en días o semanas, con default de siete días si no se fija; npm, Python, Ruby, Bun, pnpm, Yarn y VS Code agregaron esperas parecidas en el último año. La contra la marcó Socket y conviene tenerla en cuenta al elegir el valor: el enfriamiento también retrasa los arreglos legítimos, y el código malicioso no se vuelve inofensivo con el tiempo. The Hacker News
-
Un AGENTS.md malicioso en la carpeta Downloads hizo que Codex instalara malware en más de 90% de los intentos (26/10)
El caso lo reporta Forever Security sobre la máquina de un cliente real, y lo frenaron antes de que corriera código; no pudieron determinar cómo llegó el archivo. El archivo estaba disfrazado de notas de ingeniería y le pedía al agente agregar un servidor a su configuración e instalar el paquete npm function-color, que a su vez trae el downloader function-flag que baja y corre un payload de Windows —la campaña es la que CloudSEK y Checkmarx llaman MALFEX—. En VM aislada, el archivo real del atacante consiguió que Codex registrara el servidor malicioso en ~/.codex/config.toml, que aplica a todas las sesiones de la máquina, y que corriera el malware en más de 90% de los intentos; con un CLAUDE.md plantado que intentaba setear ANTHROPIC_BASE_URL para desviar el tráfico de API y filtrar el token de login, Claude suele negarse pero con un envoltorio largo de documento de ingeniería lo aprobó cerca de la mitad de las veces. La lista de acciones para hoy es corta: no arrancar agentes en ~/Downloads (la mitad de los clientes de Forever lo hace), leer todo AGENTS.md o CLAUDE.md que uno no escribió incluyendo los de repos recién clonados, revisar ~/.codex/config.toml y.claude/settings.json por bloques de servidor o base URLs desconocidas, y si aparece un archivo plantado, asumir que el token se filtró y rotarlo. Forever dice que acá no hay nada que parchear de lado de OpenAI o Anthropic: el agente siguió sus instrucciones como está diseñado. The Hacker News
-
GhostAction mutó: tras el bloqueo de GitHub ahora esconde un ladrón de credenciales como fuente.woff2 en 94 repositorios (19/10)
Los operadores, que venían inyectando workflows maliciosos de GitHub Actions en proyectos comprometidos, agregaron una segunda etapa que no depende del runner de CI después de que GitHub empezara a bloquear el workflow el 09/10. El payload nuevo son tres archivos commiteados: un tasks.json de VS Code configurado para ejecutarse al abrir la carpeta (folderOpen), el stealer disfrazado como public/fonts/fa-solid-400.woff2, y un segundo workflow —con nombres como lint.yml o audit.yml— que corre si el stealer no se ejecutó. Apunta a credenciales de AWS, PyPI, npm, Git, Kubernetes, SSH y de proveedores de IA, Anthropic y Google Gemini incluidos, instala un cron que ejecuta código del atacante cada cinco minutos y exfiltra por HTTP plano al puerto 8080. Son 94 repos de 66 dueños, la mayoría proyectos abandonados —65 de los 79 accesibles no tenían commits en más de un año—, y hay una campaña de phishing asociada: el dominio my-github[.]com, registrado el 09/10 y apuntando a la misma IP de exfiltración, se usó contra un maintainer con una página que hacía de reverse proxy, capturaba contraseña y 2FA y completaba en silencio un OAuth device flow con scopes repo, workflow y read:org. Si clonaste alguno de estos repos: revocar accesos y tokens de GitHub desde un dispositivo limpio, cambiar contraseñas, rotar todo lo alcanzable y buscar los IoC. El hallazgo es de OpenSourceMalware; no hay atribución, y el nombre del archivo de fuente coincide con uno de la campaña norcoreana PolinRider de enero de 2026. The Hacker News
-
Un falso acelerador Web3 reparte stealers por npm y además registra un servidor MCP propio en la config del agente de la víctima (19/10)
Elastic Security Labs rastrea la campaña como REF8801: un supuesto "Apex Accelerator" que apunta a fundadores de startups cripto con señuelos de créditos gratis de Claude y Gemini, herramientas de código y auditorías de seguridad, con presencia física en eventos como TOKEN2049 en Singapur para dar el pego. Los paquetes actuales son @apexacc/cli, vendido como asesor de IA, y @apexacc/audit, presentado como servidor MCP con 18 herramientas de seguridad; en julio SafeDep ya había reportado @apexfdn/apex, @copilot-mcp/apex y @apexfdn/copilot-mcp repartiendo el stealer AMOS en macOS. La parte nueva y la que más conviene mirar es el secuestro del agente: los paquetes interceptan y redirigen el tráfico LLM de OpenRouter y agregan un servidor MCP controlado por el atacante a la configuración del agente, lo que expone prompts, historial, fragmentos de código y salidas de herramientas, y permite inyectar instrucciones y controlar las descripciones de herramientas para dirigir cuál usa el agente. Las cadenas son distintas por sistema: en Windows un comando PowerShell en Base64 baja un loader de PyInstaller que intenta bypass de UAC y después un loader en Go que desactiva AMSI y ETW, desengancha ntdll.dll y corre el stealer con exfiltración por Telegram; en macOS un script bash instala el backdoor CloudSyncD y muestra un prompt de autorización falso para capturar la contraseña de login. De yapa, las herramientas de auditoría fabrican hallazgos falsos. Los paquetes y repos ya no están accesibles; los dominios para cazar son apexaccs[.]org, apexfdn[.]xyz, 0auth-chromium[.]com y ccmihr[.]com, entre otros, y si alguna máquina cargó esto hay que rotar credenciales, claves de wallet y sesiones de navegador, y revisar la config de MCP del agente buscando servidores desconocidos. The Hacker News · SafeDep
-
MALFEX muda su loader de npm a un addon nativo de Windows: imgdecode, 929 descargas y ni un script de instalación (17/10)
El paquete, publicado por malfexteste8 en versiones 1.0.0 a 1.0.3, tiene un JavaScript diminuto que no hace nada visible: el trabajo sucio está en la DLL compilada, que corre durante la inicialización del módulo Node-API, antes de devolver los exports, con solo hacer require('imgdecode'). La cadena tiene dos detalles de evasión que valen la pena: solo se ejecuta si la salida estándar es una consola interactiva de Windows —con la salida redirigida, como en la mayoría de los runners de CI y los sandboxes, se va sin hacer nada— y baja un banner.jpg de un repo de GitHub, lo descifra con AES-256-CBC y lo inyecta en un dllhost.exe suspendido, con fallback a ejecutarlo dentro de node.exe. El contexto es que npm bajó los paquetes anteriores de la campaña el 28 de septiembre y el operador volvió a publicar, pasando de una cadena de varios paquetes en JavaScript a un único addon nativo; SafeDep lo vincula a MALFEX con confianza alta por hash del downloader y ubicación de staging compartidos. Indicadores para cazar: la frase nif-runtime-2027, persistencia en %APPDATA%\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe con servicio o tarea MicrosoftEdgeUpdateService, %TEMP%\svc_update.exe, y procesos dllhost.exe cuyo padre sea node.exe. Tratá cualquier estación Windows que haya cargado el paquete como comprometida, tomá memoria antes de reiniciar porque el shellcode vive ahí, y rotá credenciales, tokens de npm y GitHub y claves SSH y de nube. Reservas: SafeDep no pudo recuperar el banner.jpg, así que el enlace con el stealer de tercera etapa es una inferencia a partir de un archivo hermano, y no se sabe cuántas máquinas quedaron afectadas. SafeDep · The Hacker News
-
Repos: Alibaba abrió open-code-review, que revisa diffs con un noveno de los tokens que gasta Claude Code en lo mismo (09/10)
La arquitectura es híbrida y la línea de corte está bien puesta: lo determinístico decide qué archivos entran, agrupa archivos relacionados en una sola unidad de revisión con un subagente y contexto propio, machea reglas según las características del archivo y chequea aparte ubicación y contenido del comentario; el agente LLM solo trae contexto y decide. El benchmark propio es AACR-Bench, 200 pull requests de 50 repos en 10 lenguajes con 1.505 problemas anotados, y contra Claude Code con el mismo modelo de base reporta más precisión y F1, alrededor de un noveno de los tokens y revisiones más rápidas, con menos recall a propósito para bajar falsos positivos. Se instala con npm install -g @alibaba-group/open-code-review y deja el comando ocr; hay modo de delegación para que el agente de código haga la revisión con su propio LLM, sin clave de API, e integraciones con Claude Code, Codex, Cursor, Kimi Code y OpenCode más GitHub Actions, GitLab CI y Gerrit. Licencia Apache 2.0. GitHub · Trending
-
Un paquete npm de Tensorlake salió con el gusano Shai-Hulud, que se deja instalado en.claude/settings.json y.vscode/tasks.json para volver a correr cuando abrís el proyecto (08/10)
La versión maliciosa es la 0.5.144 del SDK de TypeScript tensorlake, ya retirada del registro. La cronología es la que conviene entender: el 7 de octubre a las 01:20 UTC entró el primer commit falso en la rama principal del repositorio, firmado con el nombre de un mantenedor, y aproximadamente un día después el workflow de release publicó solo el paquete a npm. El payload arranca en un hook de preinstall, usa el runtime de Bun para levantarse y se lleva credenciales de npm, GitHub, AWS, HashiCorp Vault y Kubernetes, más claves SSH, archivos.env, billeteras de cripto, datos de apps de mensajería y configuraciones de varias herramientas de código con IA. Resuelve su dominio de mando desde un contrato de Ethereum, con GitHub como respaldo, y apila lo robado en un repositorio público descrito como "Shai-Hulud: Here We Go Again". Dos detalles cambian cómo hay que responder. El primero es la persistencia en los archivos de configuración de Claude Code y VS Code: limpiar node_modules no alcanza. El segundo es una rutina de rehén: un monitor en PowerShell chequea el token de GitHub robado contra la API, y si lo revocás ejecuta un handler provisto por el atacante vía Invoke-Expression, probablemente destructivo, así que conviene aislar la máquina antes de revocar. Revisá también si hay workflows de Actions falsos imitando a Copilot o Dependabot, y si se publicaron versiones inesperadas bajo tus cuentas de npm. The Hacker News
The Hacker News Amazon GitHub Claude Claude Code GitHub Copilot Shai-Hulud
-
Repos: la skill de auditoría de seguridad de Cloudflare sumó 3.607 estrellas en el día y el revisor de código de Alibaba 3.286 (02/10)
La de Cloudflare es una skill para agentes de código que corre la auditoría en seis fases —reconocimiento, caza guiada por cobertura, validación de candidatos, salida estructurada, verificación independiente de cada registro y reporte neutral respecto del blanco— y clasifica cada hallazgo como confirmed con traza completa al código fuente, needs_validation o rejected. Deja architecture.md, coverage-ledger.json, un findings.json validado contra esquema, y tres reportes en Markdown; se instala con npx skills add, licencia MIT, y la página del repo ya marca 16.600 estrellas. open-code-review de Alibaba —34.836 estrellas, Apache 2.0, npm install -g @alibaba-group/open-code-review— es lo mismo pero para revisión de PRs, con una arquitectura híbrida donde lo determinista elige y posiciona los archivos y el agente decide y busca contexto. Lo que lo hace interesante es el trade-off declarado: sobre 50 repos y 200 pull requests dice sacar más precisión y F1 que agentes de propósito general consumiendo cerca de 1/9 de los tokens, a costa de recall más bajo a propósito. GitHub Trending · GitHub · GitHub
-
Encontraron 101 paquetes maliciosos en npm que meten a los desarrolladores en grupos de WhatsApp sin permiso, con 490.000 descargas acumuladas (29-30/09)
Nir Zadok, Moshe Siman Tov Bustan y Vitalii Chepurko, de OX Security, bautizaron la campaña PhantomSub: son forks del proyecto Baileys —la librería open source para WhatsApp— con nombres como ourin-baileys, @nexustechpro/baileys, neuralwhatsapp y @dappaoffc/baileys-mod. 116.000 de esas descargas son de los últimos 30 días. Hay tres variantes según cómo consiguen los IDs de canal del atacante, y dos de ellas ofuscan el payload. Los canales a los que suscriben son sobre todo de vendedores de bots y marketplaces indonesios que venden recursos de juegos y cuentas. SafeDep en agosto y Xygeni a principios de septiembre ya habían marcado forks relacionados: el patrón lleva meses y sigue vivo. The Hacker News
-
Cloudflare lanzó cf, una CLI diseñada para agentes que expone más de 3.000 operaciones de toda su API (28/09)
Es el reemplazo generacional de Wrangler, que cubría unos 280 comandos con patrones inconsistentes; cf cubre la superficie completa de la API de Cloudflare. Las tres decisiones de diseño apuntan derecho al agente: salida JSON por defecto en vez de tablas para humanos, configuración en TypeScript en cloudflare.config.ts que aprovecha el language server en vez del formato propio de Wrangler, y cf cli search, búsqueda de comandos en lenguaje natural para que el agente descubra qué existe sin cargarse el contexto con toda la ayuda. Vite queda como servidor de desarrollo por defecto. Se instala con npm i -g cf. Si tenés agentes tocando infraestructura en Cloudflare, es el tipo de cambio que conviene probar temprano: la CLI vieja les daba una fracción de la plataforma. Blog de Cloudflare
-
Repos: Hindsight y Paperclip siguieron escalando el tercer día, y aparecieron dos harnesses nuevos con enfoques opuestos (28/09)
Sigue de lo de ayer: hindsight sumó unas 4.520 estrellas en el día y paperclip unas 2.401, con totales verificados de 22,1k y 84,1k. Hindsight, MIT, se instala con pip install hindsight-api o su imagen de Docker y organiza la memoria en estructuras biomiméticas —hechos del mundo, experiencias, observaciones, modelos mentales—; Paperclip es la capa de gobierno sobre agentes que ya corren, con tracking de costos por agente, org chart con roles y permisos, ejecución por heartbeats y workflows de aprobación. Los dos nuevos del día van por caminos distintos: OpenRig (npm install -g @openrig/cli, Apache 2.0) es un daemon local que orquesta equipos de agentes de código sobre tmux con topologías en YAML, mientras Univer se reposicionó como "Office Harness for AI Agents" —planillas, docs, slides y PDF en un runtime con APIs estructuradas, verificación por screenshots y un flujo de worktree donde el humano mergea—. Distintas respuestas al mismo diagnóstico: darle al agente un entorno verificable en vez de texto libre. Hindsight · Paperclip · OpenRig · Univer
-
Cadena de suministro: dos GitHub Actions comprometidas en mayo estuvieron nueve días reactivadas con el payload Mini Shai-Hulud todavía adentro (26/09)
Son actions-cool/issues-helper y actions-cool/maintain-one-comment. GitHub las había sacado el 18 de mayo, cuando el ataque original alcanzó 323 paquetes npm y 639 versiones; los mantenedores las volvieron a habilitar el 16 de septiembre apuntando al mismo código malicioso, que roba tokens, credenciales y secretos de CI/CD, y recién el 25 las deshabilitaron otra vez, después de que Socket lo detectara. Unos 15.000 repositorios dependen de issues-helper y suelen correrla casi a diario para tareas de mantenimiento de issues, lo que no significa que todos quedaran comprometidos. Qué hacer: sacar las referencias o fijarlas a un commit limpio verificado, revisar las corridas desde el 16 de septiembre y rotar todo secreto al que esos workflows tuvieran acceso. BleepingComputer
-
Un paquete npm malicioso se esconde en el camino caliente de la librería en vez del script de instalación, y guarda su segunda etapa en un contrato de Ethereum (20/09)
indexed-btree se hace pasar por la librería legítima sorted-btree y ya acumula dos millones de descargas semanales. La novedad táctica es que no usa preinstall ni postinstall en absoluto: el cargador está injertado en BTree.prototype.set(), la función más transitada de la librería, y solo se dispara cuando una aplicación en vivo inserta la clave con valor 100 y además hay un archivo cargador ofuscado en disco. Por eso la instalación se ve limpia y no activa ninguno de los mecanismos de aprobación de npm v12, que justamente miran los scripts de instalación. El reconocimiento de primera etapa se manda a canales de Slack y Telegram hardcodeados; la segunda etapa se descifra de un texto cifrado guardado en un contrato inteligente de Ethereum en la red de prueba Sepolia, un canal de mando y control sin dominio para sumidero ni servidor para incautar. Checkmarx Zero contó diez paquetes ligados a la operación, con millones de descargas entre todos, y una billetera con 109 ETH. BleepingComputer · Checkmarx Zero
-
Unity sacó plugins oficiales para Claude Code y Codex para que los agentes dejen de copiar tutoriales de versiones viejas (19/09)
El problema que resuelve es concreto y conocido por cualquiera que haya intentado que un agente escriba código de Unity: los agentes de propósito general se apoyan en posts de foro y tutoriales de versiones anteriores del motor, cuyo código compila pero no hace lo que debería. Los plugins traen skills que escriben y mantienen los equipos de Unity. La versión de Codex arranca con 31 skills para interfaces, gráficos 2D, el pipeline de render URP, audio, navegación, física, compras dentro de la app, multijugador y localización; una skill arma proyectos nuevos completos con editor, control de versiones y paquetes, y otra migra proyectos viejos a URP. Corren sobre Unity 6 o superior y se instalan con un clic desde el directorio de plugins de Codex o vía npm en Claude Code. El patrón vale más allá de Unity: cuando el conocimiento de un framework envejece rápido, el dueño del framework publicando sus propias skills es mejor solución que esperar a que el modelo se actualice. The Decoder · Unity / Claude Code · Unity / Codex
The Decoder Unity / Claude Code Unity / Codex Claude Claude Code
-
Un atacante copió unos 170 repositorios privados de CrowdSec usando la cuenta de un empleado que se había ido, y la puerta de entrada fue el ataque a los paquetes npm de TanStack (19/09)
La empresa francesa de seguridad lo publicó el 18 de septiembre: la notebook del ex empleado quedó comprometida en el ataque de cadena de suministro de mayo, cuando se publicaron 84 versiones maliciosas de 42 paquetes npm de TanStack (CVE-2026-45321) que robaban credenciales de las máquinas de los desarrolladores. La copia se hizo el 22 de mayo y el código apareció en un foro el 16 de septiembre; además del fuente incluía direcciones de email de 83 usuarios de CrowdSec y nombres, emails y contexto de inversión de 51 inversores potenciales de 2020. CrowdSec dice que la cuenta se usó solo para copiar, que no se tocaron infraestructura ni bases de datos y que no se modificó código. La lección no es la del paquete envenenado sino la de al lado: CrowdSec le había dejado el acceso a GitHub abierto a alguien que ya no trabajaba ahí. The Hacker News
-
Armature midió 16.893 sesiones de Claude Code, Codex y Cursor eligiendo servicios de terceros, y los tres coinciden apenas en el 42% de los casos (03/09)
El experimento es serio: 75 repositorios en 10 lenguajes con nombres de empresa, historiales de git y claves de API falsos pero lockfiles reales verificados contra npm, 1.163 variaciones de prompt según cuatro perfiles —vibe coder, junior, senior, ingeniero de empresa grande—, sandboxes efímeros rotando entre tres proveedores, y un "humano simulado" en el loop porque pedir implementación directa sesgaba a los agentes a construir todo a mano. Publicaron las trazas completas. Lo accionable son los patrones: Cursor decide mirando la web en dos tercios de las sesiones, Codex busca en el 94% pero en nueve de cada diez consultas usa operadores como site: para acotar a dominios confiables, y Claude Code se apoya en sus priors y busca solo el 30% de las veces —aunque sube a ~80% en categorías nuevas donde sus priors son débiles— y construye in-house casi el doble que los otros dos. El contexto del repositorio pesa más que la calidad del producto: con el mismo pedido en cuatro lenguajes salieron cuatro proveedores de email distintos, Resend en TypeScript, SendGrid en Python, Postmark en Go y Azure ACS en Java. Y ser mencionado no es ser elegido: LangChain es el framework más citado con 194 menciones y fue elegido cuatro veces; PayPal se citó 139 veces y ganó cero. Armature · Hacker News
-
Abusan de npm y sus mirrors para hostear páginas de phishing que imitan CAPTCHAs de Cloudflare (25/08)
Los atacantes publican paquetes con HTML malicioso adentro y usan la CDN del registro —y sus espejos— como hosting gratis y con reputación limpia, para redirigir visitantes a sitios que controlan. Lo que hace efectivo el truco es justamente el dominio: un link a un mirror de npm no dispara las mismas alarmas que un dominio recién registrado. Es una variante distinta del ataque a la cadena de suministro habitual: acá no se busca que instales el paquete, sino usar el registro como infraestructura de entrega. BleepingComputer
-
Catorce paquetes npm troyanizados sueltan un implante de Linux con capa LLM para traducir órdenes en castellano llano a comandos (21/08)
Los paquetes se hacen pasar por utilidades de calendario y rachas —streak-metrics-math, kit-map-vim, streak-map-cache, map-streak-kit y otros diez— y no usan install hook: el dist/index.mjs funciona como cargador y ejecuta el implante al importar el módulo, incluso como dependencia transitiva, lo que quiere decir que alcanza con que aparezca en cualquier parte del árbol. El binario se disfraza de "acelerador matemático nativo" con nombres como math-core.bin o calc-cache.bin. El payload es RedShell, el beacon de Linux nuevo en la versión 4.0 del framework RedC2: shell por /bin/sh, robo de claves SSH y credenciales de navegador, ejecución de ELF en memoria, proxy SOCKS5 y pivoteo. Lo que hay que mirar con atención es Red Agent, la capa de LLM que traduce pedidos en lenguaje natural a comandos del framework para reconocimiento de red y volcado de credenciales: baja el piso de habilidad necesaria para operar la herramienta. RedC2 se vende a USD 99,99 en el sitio "Red Offsec" y lo promociona el actor "MarlboroMan" en Hack Forums desde principios de junio. The Hacker News · TrendAI
-
Congresistas de EE.UU. piden más fondos para CISA tras ataques a infraestructura crítica
El reclamo bipartidario sigue a incidentes cibernéticos contra servicios de agua en al menos siete estados, en un contexto donde la IA generativa abarata el reconocimiento y la ingeniería social para atacantes. La discusión reposiciona la ciberseguridad como gasto de infraestructura nacional. TechStartups (vía WSJ) - Fin de semana con poca actividad: los incidentes grandes de la semana (0-day de Metabase CVSS 10.0, hotfixes de N-able, campaña de ~800 paquetes npm maliciosos) son del jueves/viernes, fuera de la ventana de 24h.
-
Paquetes npm troyanizados esconden el C2 en transferencias vacías de Ethereum
(5 ago). La técnica "NullReceiver", atribuida a Corea del Norte y vista en los paquetes bianira-ui y fluid-type-ui (ya removidos, ~700 descargas), codifica la IP del C2 en la dirección de destino inventada de una transferencia Ethereum vacía — una evolución de EtherHiding difícil de bloquear. Fuente: The Hacker News.
-
Gusano npm en keyv envenena cientos de paquetes
El 4 de agosto un gusano roba-credenciales que apareció en keyv@6.0.0 (127M descargas semanales) se propagó más allá de los namespaces Keyv/Cacheable: Aikido reporta 868+ paquetes en 1.381 versiones, con más de 2.000 millones de instalaciones mensuales combinadas. Un script preinstall roba tokens de GitHub, credenciales cloud y claves privadas, republica versiones troyanizadas con el token npm robado, y planta hooks de persistencia en Claude Code y VS Code. Las releases maliciosas pasaban los chequeos de provenance/attestation de npm. Acción: auditar lockfiles, rotar credenciales y activar ignore-scripts. The Hacker News · Aikido · SafeDep
-
Contexto de fondo — cadena de suministro de software bajo asedio
Las campañas de paquetes maliciosos en npm/PyPI siguen acelerándose en 2026 (SDKs de pago falsos que roban credenciales y secretos de CI/CD, pipelines de AsyncAPI comprometidos). Sin novedad puntual verificable en las últimas 24h, pero conviene mantener el radar activo sobre dependencias. GitGuardian · GBHackers
-
Campaña de paquetes maliciosos en npm y PyPI imitando SDKs de pagos
Escáneres automáticos detectaron 17 paquetes maliciosos publicados en ambos registros que se hacen pasar por SDKs legítimos de plataformas de pago como PaySafe, Skrill y Neteller. El malware cosecha credenciales guardadas en variables de entorno y las exfiltra a infraestructura del atacante, con técnicas de evasión de sandbox y anti-análisis. Es parte de una racha de ataques a la cadena de suministro de software durante 2026. GBHackers · Security Boulevard
-
Nueva ola de ataques a la cadena de suministro en npm y PyPI
Se detectó un clúster de paquetes maliciosos que se hacían pasar por SDKs de plataformas de pago (PaySafe, Skrill, Neteller) para robar credenciales y tokens de máquinas de desarrolladores y runners de CI. En paralelo, entre junio y mediados de julio hubo al menos cuatro incidentes más, incluida una variante del gusano Shai-Hulud y el compromiso de pipelines de release de repositorios core de AsyncAPI (14 jul). El vector CI/CD sigue siendo el punto débil. GBHackers · GitGuardian
-
Sigue la racha de ataques a la cadena de suministro en npm y PyPI
Investigadores reportan cuatro nuevos ataques recientes: una variante del gusano Shai-Hulud, SDKs de pago typosquatteados, un token de publicación robado y el compromiso de los pipelines de release de repositorios core de AsyncAPI, con exfiltración de secretos de CI/CD. GitGuardian · Security Boulevard
-
Nueva ola de ataques a la cadena de suministro en npm y PyPI
Se detectaron múltiples campañas: una variante del gusano Shai-Hulud, TanStack y +160 paquetes npm/PyPI comprometidos, y SDKs de pago falsos (imitando PaySafe, Skrill, Neteller) que exfiltran credenciales y secretos de CI/CD. La cadencia de compromisos no baja. GitGuardian · Orca Security · Unit 42
-
AsyncAPI comprometido vía GitHub Actions OIDC
El 14 de julio atacantes comprometieron los pipelines de release de repositorios core de AsyncAPI y publicaron cinco paquetes npm maliciosos bajo el scope @asyncapi. Lo notable del vector: el atacante nunca tocó un token de npm, sino que abusó del propio pipeline de CI del proyecto a través de GitHub Actions OIDC. Es el patrón que viene desplazando al robo de credenciales clásico en supply chain. Upwind · Unit 42 · NHS England Digital
-
Campaña de supply chain en npm/PyPI con SDKs de pago falsos
El 7 de julio se detectaron 17 paquetes maliciosos publicados casi en simultáneo en npm y PyPI imitando SDKs de PaySafe, Skrill y Neteller; roban credenciales de entorno y las exfiltran vía ngrok, con chequeos anti-sandbox para evadir detección. En paralelo, el 14 de julio se comprometieron los pipelines de release de repositorios core de AsyncAPI abusando de GitHub Actions OIDC, sin siquiera tocar un token de npm. GBHackers · Upwind
-
Campaña de SDKs de pago falsos en npm y PyPI
El 7 de julio, escáneres automatizados detectaron un clúster de 17 paquetes maliciosos publicados casi simultáneamente en npm y PyPI, imitando SDKs de plataformas de pago (PaySafe, Skrill, Neteller). El malware roba credenciales y tokens de máquinas de desarrolladores y runners de CI/CD, con evasión de sandbox y chequeos anti-análisis. Refuerza la tendencia de ataques a la cadena de suministro de software. - -
-
Compromiso del pipeline de AsyncAPI vía GitHub Actions OIDC
El 14 de julio, atacantes comprometieron los pipelines de release de cuatro repos centrales de AsyncAPI y publicaron cinco paquetes troyanizados en npm (campaña "miasma-train-p1"). Lo notable: nunca tocaron un token de npm —abusaron del propio CI de cada proyecto mediante GitHub Actions OIDC—, un vector cada vez más usado en ataques a la supply chain. - -
-
Falsos SDKs de pago en npm y PyPI roban secretos de CI/CD
El 7/07 se detectó un clúster de 17 paquetes maliciosos publicados casi en simultáneo en npm y PyPI, imitando SDKs de PaySafe, Skrill y Neteller. El malware cosecha credenciales y tokens de máquinas de desarrollo y runners de CI, exfiltrando a infraestructura oculta tras cifrado XOR y un dominio en Ngrok. GBHackers · Unit 42
-
Compromiso del pipeline de AsyncAPI abusando de GitHub Actions OIDC
El 14/07 atacantes comprometieron los pipelines de release de cuatro repos centrales de AsyncAPI y publicaron cinco paquetes troyanizados en npm (campaña "miasma-train-p1", con payloads emparentados con el RAT Miasma). No usaron ningún token de npm: abusaron del propio CI del proyecto vía OIDC de GitHub Actions, un vector cada vez más común. The Hacker News / SecurityOnline
-
Ataque a la cadena de suministro en paquetes @asyncapi de npm
El 14 de julio se comprometieron los pipelines de release de repositorios core de AsyncAPI en GitHub, publicando cinco paquetes maliciosos bajo el scope @asyncapi. Los atacantes no tocaron ningún token de npm: abusaron del propio CI de cada proyecto vía GitHub Actions OIDC para publicar. Ilustra el nuevo frente de ataques que explotan la confianza en pipelines de integración continua. Upwind · Unit 42
-
Campaña de SDKs de pago falsos en npm y PyPI
El 7 de julio se detectaron 17 paquetes maliciosos publicados casi en simultáneo en npm y PyPI, imitando SDKs de plataformas de pago (PaySafe, Skrill, Neteller). Una vez instalados, roban credenciales y tokens de las máquinas de desarrolladores y de los runners de CI. La detección la disparó el escáner con IA de Socket. GBHackers · CyberPress
-
Campaña de paquetes maliciosos en npm y PyPI suplantando SDKs de pago
Se detectó un clúster de 17 paquetes maliciosos en npm y PyPI que se hacían pasar por los SDKs oficiales de Paysafe, Skrill y Neteller. Incluían evasión de sandbox y anti-análisis; robaban API keys, credenciales AWS, tokens de GitHub y npm y variables de entorno con secretos, exfiltrándolos por HTTPS a un C2 detrás de un túnel ngrok. El robo de tokens abre la puerta a ataques de segundo orden en la cadena de suministro. Riesgo directo para equipos de desarrollo de pagos y CI/CD. GBHackers · ComplianceHub
-
Supply chain: el paquete npm jscrambler 8.14.0 dropeaba un infostealer en Rust
El release 8.14.0 de jscrambler, publicado el 11 de julio, llegó comprometido: un hook preinstall escribe y ejecuta un binario nativo (una build para Windows, macOS y Linux) durante el npm install. El archivo dist/intro.js no es JavaScript sino un contenedor de ~7,8 MB con tres binarios comprimidos. Socket lo detectó seis minutos después de publicado, pero cualquier build system que lo haya traído en esa ventana ya ejecutó el payload con los permisos del proceso de instalación. La versión 8.13.0 está limpia. The Hacker News
-
Supply chain: 17 paquetes falsos de SDKs de pago publicados casi simultáneamente en npm y PyPI
El 7 de julio se detectó un cluster de 17 paquetes maliciosos publicados casi al mismo tiempo en npm y PyPI, haciéndose pasar por SDKs de PaySafe, Skrill y Neteller (paysafe-checkout, paysafe-node, paysafe-sdk, paysafe-payments, etc.). El objetivo: robar credenciales y tokens de máquinas de desarrolladores y de runners de CI. El malware trae chequeos anti-sandbox (aborta si detecta indicadores de sandbox o menos de dos CPUs) y ofusca el C2 con XOR + desplazamiento de caracteres + reversión de string, exfiltrando a un dominio en Ngrok. El target ya no es el usuario final: es el pipeline. GBHackers · Cyberpress
-
El paquete npm jscrambler 8.14.0 fue comprometido y ejecuta un infostealer al instalar
Publicada el 11 de julio, la versión maliciosa trae un hook preinstall que suelta y ejecuta un binario nativo — hay una build para Windows, macOS y Linux. Socket la detectó seis minutos después de publicada, pero cualquier build system que la haya tirado en esa ventana ya ejecutó el payload con los permisos del proceso de instalación. El diff contra 8.13.0 muestra dos archivos nuevos en dist/: setup.js (loader) e intro.js, que pese al nombre no es JavaScript sino un contenedor de ~7,8MB con los tres binarios comprimidos. Si tenés jscrambler en tus dependencias, revisá lockfiles y logs de CI de las últimas 48hs. The Hacker News
-
El GitHub de Injective Labs fue comprometido para publicar paquetes npm que roban claves de wallets
Atacantes tomaron control del repo del SDK de Injective Labs y publicaron @injectivelabs/sdk-ts@1.20.21 (8 de julio) con una falsa funcionalidad de "telemetría" que exfiltraba claves privadas y frases semilla de wallets cripto. La versión maliciosa se propagó además a 17 paquetes @inj* adicionales. El detalle más incómodo: los commits maliciosos entraron por una cuenta de GitHub de un colaborador con historial legítimo en el proyecto. Aunque la versión fue deprecada en npm, los artefactos seguían descargables desde GitHub al momento del reporte. The Hacker News
-
17 paquetes maliciosos en npm y PyPI se hacen pasar por SDKs de pagos
Detectada el 7 de julio, una campaña coordinada subió 17 módulos a npm y PyPI simulando SDKs de PaySafe, Skrill y Neteller para robar credenciales de entorno y exfiltrarlas vía infraestructura ngrok. Incluía evasión de sandbox y ofuscación multicapa del C2 (XOR, char-shifting, reversión); algunos paquetes fueron detectados como maliciosos a los ~6 minutos de publicarse. Otro golpe a la cadena de suministro de software. GBHackers · NHS England Digital · Upwind
-
Campaña de paquetes maliciosos en npm y PyPI con falsos SDKs de pago
El 7 de julio se detectaron 17 paquetes maliciosos publicados casi simultáneamente en npm y PyPI, imitando SDKs de PaySafe, Skrill y Neteller (p. ej. paysafe-checkout, paysafe-node, neteller). Recolectaban credenciales almacenadas en variables de entorno y las exfiltraban vía ngrok, con checks de evasión de sandbox. Ataque directo a la cadena de suministro de software de desarrolladores de pagos. GBHackers · CyberPress
-
Nueva ola de Shai-Hulud golpea a más de 100 paquetes npm y PyPI
Investigadores reportaron nuevos ataques de supply chain de la campaña Shai-Hulud que comprometieron más de 100 paquetes en npm y PyPI. Refuerza que los registros de paquetes siguen siendo un vector prioritario y de alto impacto para atacantes en 2026. SecurityWeek
-
El gusano Shai-Hulud sigue infectando npm y PyPI
Más de 100 paquetes en npm y PyPI fueron comprometidos en las variantes Miasma y Hades de este malware autorreplicante, y la variante "Mini Shai-Hulud" (CVE-2026-45321), activa desde fines de abril, es descrita como más destructiva que el original. El primer semestre de 2026 ya acumuló 37 campañas y 497 paquetes maliciosos indexados —2,6× las campañas del año previo. Cuidado especial con hooks de postinstall y pipelines de CI/CD. SecurityWeek · Tenable · Phoenix Security
-
Nuevas oleadas del worm Shai-Hulud golpean npm y PyPI
Más de 100 paquetes fueron comprometidos en nuevas campañas del gusano autorreplicante que roba tokens de GitHub y npm, credenciales de AWS/GCP/Azure, tokens de Kubernetes y Vault, y luego reinyecta la dependencia maliciosa en paquetes donde la víctima tiene permisos de publicación. TeamPCP escaló con "Miasma", que se inyecta en los SessionStart hooks de 13 herramientas de coding con IA (incluidas Claude Code, GitHub Copilot y Gemini CLI). Riesgo directo para pipelines CI/CD y entornos de desarrollo. SecurityWeek · Orca Security
SecurityWeek Orca Security Amazon GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI PyPI Shai-Hulud
-
Cadena de suministro en npm: malware oculto en binding.gyp
Sigue activa una campaña de ataques a la cadena de suministro en npm que abusa de binding.gyp —un archivo que la mayoría del tooling de seguridad no inspecciona— para que node-gyp ejecute código del atacante durante npm install, evadiendo los scripts pre/postinstall vigilados. Se suma al patrón reciente de paquetes troyanizados (p. ej. el falso @bitwarden/cli que roba credenciales de cloud/CI y se auto-propaga). En paralelo, atacantes esconden el trojan ChocoPoC dentro de falsos exploits (PoC) en GitHub dirigidos a investigadores de seguridad. Snyk · Unit 42
-
Cadena de suministro: el gusano "Miasma" ataca herramientas de coding con IA
El grupo TeamPCP (UNC6780) desplegó Miasma, un worm autopropagante que se inyecta en los hooks SessionStart de 13 herramientas de coding con IA (incluidas Claude Code, GitHub Copilot y Gemini CLI), falsifica firmas de procedencia SLSA para pasar npm audit y usa GitHub como canal C2. Ejemplo de cómo los atacantes apuntan al tooling de desarrollo con IA. The Hacker News
The Hacker News GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI Shai-Hulud
-
"Miasma": un gusano de cadena de suministro que ataca herramientas de coding con IA
El grupo TeamPCP liberó en junio Miasma, un worm que se auto-propaga inyectándose en los hooks SessionStart de 13 herramientas de coding con IA, entre ellas Claude Code, GitHub Copilot y Gemini CLI. Falsifica firmas de procedencia SLSA para pasar los chequeos de npm audit, usa GitHub como canal de comando y control, e incluye un DEADMAN_SWITCH que borra la máquina del desarrollador si se revocan los tokens antes de aislar la red. Orca Security · Tenable
Orca Security Tenable GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI Shai-Hulud
-
Continúa la oleada de ataques a la cadena de suministro en npm y PyPI
Nuevas variantes de Shai-Hulud (Miasma en npm, Hades en PyPI) protagonizaron desde inicios de junio una campaña coordinada que roba credenciales, tokens y secretos y se auto-propaga infectando paquetes del ecosistema. Se contabilizaron cientos de versiones maliciosas —más de 100 paquetes npm/PyPI afectados y ~471 artefactos maliciosos identificados—, incluida la infección de 32 paquetes de la consola de Red Hat. Es uno de los vectores más activos de 2026. SecurityWeek · Phoenix Security · Tenable
-
Nuevos ataques a la cadena de suministro en npm y PyPI (Shai-Hulud "Hades" y Miasma)
Más de 100 paquetes de npm y PyPI fueron alcanzados por nuevas variantes de Shai-Hulud, incluida una identificada por la cadena "Hades – The End for the Damned" en PyPI. En paralelo, el gusano autopropagante Miasma (UNC6780/TeamPCP) se inyecta en los hooks SessionStart de 13 herramientas de coding con IA —incluyendo Claude Code, GitHub Copilot y Gemini CLI—, falsifica firmas de procedencia SLSA y usa GitHub como canal de C2. Los desarrolladores deben auditar dependencias y rotar tokens. SecurityWeek · Tenable
SecurityWeek Tenable GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI PyPI Shai-Hulud
-
Paquetes npm y Go hijackeados despliegan un infostealer en Python
Investigadores revelaron (29 de junio) dos paquetes npm y un cluster de paquetes Go que ocultan la ejecución dentro de una tarea de VS Code que corre al abrir la carpeta del proyecto; desde ahí descargan JavaScript cifrado desde transacciones blockchain, abren un backdoor socket.io y finalmente bajan un infostealer multiplataforma (Windows, Linux, macOS). Roba credenciales de navegadores, gestores de contraseñas, wallets cripto, keychains y artefactos de desarrollo (Git, GitHub CLI/Desktop, VS Code). Notable por evadir los scripts de ciclo de vida para sortear las protecciones de npm v12. The Hacker News · Cyber Tech World
-
Campaña Miasma: worm autopropagante contra el ecosistema npm y herramientas de IA
El grupo TeamPCP (UNC6780) liberó en junio Miasma, que se inyecta en los hooks SessionStart de 13 herramientas de coding con IA (Claude Code, GitHub Copilot, Gemini CLI, entre otras), forja firmas de provenance SLSA para pasar npm audit, usa GitHub como canal C2 e incluye un "deadman switch" destructivo. Para el 5 de junio había al menos 57 paquetes npm y +300 versiones maliciosas; arrancó comprometiendo 32 paquetes del namespace @redhat-cloud-services. Es de los primeros worms que apuntan directamente al tooling de desarrollo con IA. The Hacker News · Phoenix Security
The Hacker News Phoenix Security GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI Shai-Hulud
-
Shai-Hulud "Hades" golpea PyPI
A inicios de junio se detectó una variante de Shai-Hulud (cadena "Hades – The End for the Damned") en ~19-24 paquetes de PyPI: usan un archivo *-setup.pth que se ejecuta al iniciar Python, descargan el runtime Bun y corren JavaScript malicioso para cosechar credenciales de nube. Confirma que PyPI es ya un frente tan caliente como npm. SecurityWeek · Orca Security
-
Worm de cadena de suministro "Miasma/Shai-Hulud" golpea npm y PyPI
Nuevas oleadas comprometieron más de 100 paquetes en npm y PyPI. El worm Miasma (atribuido a UNC6780) se autopropaga inyectándose en los hooks SessionStart de 13 herramientas de coding con IA —incluidas Claude Code, GitHub Copilot y Gemini CLI—, falsifica firmas de procedencia SLSA para pasar npm audit, usa GitHub como canal de C2 y trae un "deadman switch" que borra máquinas de desarrolladores. Importa porque ataca directamente el tooling de los desarrolladores y la confianza en los registros de paquetes. SecurityWeek · Orca Security
SecurityWeek Orca Security GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI PyPI Shai-Hulud
-
Gusanos Miasma y Hades golpean npm y PyPI
Una oleada de ataques a la cadena de suministro comprometió cientos de paquetes: Miasma, un gusano autopropagable que se inyecta en los hooks SessionStart de 13 herramientas de coding con IA (Claude Code, GitHub Copilot, Gemini CLI), falsifica firmas de procedencia SLSA para pasar npm audit y lleva un "DEADMAN_SWITCH" que borra máquinas si se revocan tokens. En paralelo, la variante Hades de Shai-Hulud golpeó PyPI en dos olas (19 + 29 paquetes). Importa por la sofisticación: provenance falsificado, autopropagación y targeting directo de entornos de desarrollo con IA. SecurityWeek · Phoenix Security
SecurityWeek Phoenix Security GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI PyPI Shai-Hulud
-
La cadena de suministro de software, bajo asedio en npm y PyPI
Junio acumuló múltiples campañas: variantes de Shai-Hulud/"Hades" golpeando decenas de paquetes en PyPI, y el 17 de junio un typosquat de easy-day-js (clon exacto de dayjs) inyectado en 144 paquetes de la organización @mastra en una ventana automatizada de 88 minutos, alcanzando más de 1,1 millón de descargas semanales. Las cargas roban credenciales y se auto-propagan apuntando a CI/CD. SecurityWeek · Orca Security
-
Gusano de cadena de suministro golpea más de 100 paquetes de npm y PyPI
Nuevas variantes autopropagantes —Miasma, Hades y la familia Shai-Hulud— comprometieron decenas de paquetes, incluidos namespaces como @redhat-cloud-services y @mastra/*. Los payloads se ejecutan en la instalación y roban credenciales de CI/CD, identidades de nube, tokens de GitHub y workflows de publicación de npm, con mecanismos de persistencia y evasión. (SecurityWeek, Phoenix Security)
-
Nueva ola de ataques a la cadena de suministro Shai-Hulud golpea npm y PyPI
Variantes nuevas del gusano Shai-Hulud ("Miasma" en npm, "Hades" en PyPI) comprometieron más de 100 paquetes desde principios de junio, con un total de cientos de artefactos maliciosos. La novedad técnica: un archivo *-setup.pth que Python ejecuta al iniciar el intérprete, disparando el payload tras la instalación sin necesidad de importar el paquete. Entre las víctimas se cuentan paquetes del ecosistema JavaScript de la Hybrid Cloud Console de Red Hat. SecurityWeek · BleepingComputer · The Hacker News
SecurityWeek BleepingComputer The Hacker News PyPI Shai-Hulud
-
Supply chain: el gusano Miasma y nuevas olas de Shai-Hulud/Hades
Continúa la presión sobre npm y PyPI. "Miasma" —un gusano autopropagante que se inyecta en los hooks SessionStart de 13 herramientas de IA para coding (incluidas Claude Code, GitHub Copilot y Gemini CLI), forja provenance SLSA y usa GitHub como canal C2— afectó a decenas de paquetes npm. En paralelo, una nueva variante de Shai-Hulud ("Hades") golpeó alrededor de dos docenas de paquetes PyPI con un archivo *-setup.pth que se ejecuta al iniciar Python. Unit 42 · SecurityWeek
Unit 42 SecurityWeek GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI PyPI Shai-Hulud
-
Shai-Hulud / "Hades": nueva ola de paquetes maliciosos en npm y PyPI
Más de 100 paquetes de npm y PyPI fueron comprometidos en variantes del gusano Shai-Hulud, con payloads que apuntan a CI/CD, identidades cloud, credenciales de GitHub y tooling de IA. Algunos inyectan archivos.cursorrules y CLAUDE.md con instrucciones ocultas (Unicode de ancho cero) para envenenar asistentes de coding. La variante "Hades" en PyPI usa un archivo *-setup.pth que se ejecuta al iniciar Python. SecurityWeek · Unit 42
-
Gusano "Miasma" / Shai-Hulud en npm y PyPI
Campaña activa que comprometió 100+ paquetes entre npm y PyPI. Ejecuta un payload ofuscado de 4.2 MB vía hook preinstall y se auto-propaga inyectándose en los hooks de 13 herramientas de coding con IA (Claude Code, GitHub Copilot, Gemini CLI), llegando a forjar firmas SLSA para pasar npm audit. Variante en PyPI ("Hades") usa archivos *-setup.pth que se ejecutan al arrancar Python. Revisar dependencias y pipelines CI/CD. SecurityWeek · Phoenix Security · Tenable
SecurityWeek Phoenix Security Tenable GitHub Claude Gemini Claude Code GitHub Copilot Gemini CLI PyPI Shai-Hulud
-
Paquetes de Red Hat publicados maliciosamente
El 1 de junio se pushearon commits no autorizados a repos de la organización RedHatInsights en GitHub y se publicaron versiones maliciosas de 32 paquetes bajo el scope npm @redhat-cloud-services. Upwind · Unit 42