NodeCordRAT: Desarrolladores de criptomonedas atacados mediante paquetes npm de Bitcoin maliciosos

Una campaña de malware sigilosa y muy dirigida está explotando la confianza dentro de la cadena de suministro de software de código abierto para comprometer a desarrolladores de criptomonedas. El vector de ataque se centra en el registro de npm (Node Package Manager), una piedra angular del ecosistema JavaScript y Node.js, donde actores de amenazas han subido paquetes maliciosos que se hacen pasar por librerías legítimas de Bitcoin y criptomonedas. La carga útil final es un sofisticado y previamente desconocido Troyano de Acceso Remoto (RAT, por sus siglas en inglés) que los investigadores han denominado NodeCordRAT.

El Vector de Ataque: Paquetes npm Envenenados

La campaña aprovecha tácticas de typosquatting y confusión de dependencias. Los atacantes publicaron paquetes con nombres deliberadamente similares a librerías legítimas y populares utilizadas en proyectos de blockchain y criptomonedas. Los paquetes maliciosos identificados incluyen bitcoin-lib-core, bitcoin-lib y crypto-lib-js. Estos paquetes fueron elaborados para parecer funcionales, conteniendo código básico para evitar sospechas inmediatas, mientras que su carga útil maliciosa principal estaba ofuscada y se ejecutaba durante la instalación o el tiempo de ejecución de la aplicación dependiente.

El objetivo es preciso: los desarrolladores que trabajan en aplicaciones relacionadas con Bitcoin, carteras de criptomonedas, bots de trading o integraciones de blockchain que buscan e instalan estas librerías aparentemente útiles están invitando inadvertidamente al malware a su entorno de desarrollo y, posteriormente, a cualquier aplicación que construyan.

Dentro de NodeCordRAT: Capacidades y Persistencia

NodeCordRAT es una puerta trasera con todas las funciones, escrita en Node.js, lo que le otorga compatibilidad nativa y sigilo dentro de un entorno Node.js. Una vez ejecutado, establece una conexión persistente con un servidor de Comando y Control (C2) operado por los atacantes. Sus capacidades son extensas y representan una amenaza grave para los sistemas de los desarrolladores y la integridad de sus proyectos:

• Reconocimiento del Sistema: El RAT puede recopilar información detallada sobre la máquina infectada, incluidos detalles del sistema operativo, software instalado, configuración de red y procesos en ejecución.
• Manipulación del Sistema de Archivos: Los atacantes pueden listar, subir, descargar y eliminar archivos a voluntad. Esto les permite exfiltrar código fuente, archivos de configuración y documentos sensibles.
• Robo de Credenciales: El malware escanea activamente y roba credenciales almacenadas en variables de entorno, archivos de configuración (como .env) y datos del navegador.
• Enfoque en Criptomonedas: Un módulo clave está diseñado para buscar archivos de carteras de criptomonedas, frases semilla y claves privadas almacenadas en el sistema comprometido.
• Acceso a Shell Remoto: Proporciona una shell inversa, otorgando a los atacantes acceso directo a la línea de comandos de la máquina de la víctima, permitiéndoles ejecutar comandos arbitrarios, instalar malware adicional o moverse lateralmente dentro de una red.
• Mecanismos de Persistencia: NodeCordRAT emplea técnicas para asegurar que sobreviva a los reinicios del sistema, a menudo creando tareas programadas o modificando scripts de inicio.

La Amenaza a la Cadena de Suministro y su Impacto

Esta campaña ejemplifica una evolución crítica en los ataques a la cadena de suministro de software. Al infiltrarse en un repositorio de confianza como npm, los atacantes logran un efecto multiplicador. El sistema comprometido de un solo desarrollador puede llevar a que el malware se incluya en proyectos comerciales o de código abierto, afectando potencialmente a miles de usuarios finales. El enfoque en el nicho de las criptomonedas indica un actor de amenazas motivado financieramente que busca objetivos de alto valor, donde el acceso directo a claves de carteras o algoritmos de trading propietarios puede resultar en una ganancia monetaria significativa.

Los paquetes estuvieron disponibles para su descarga durante un período considerable, acumulando miles de instalaciones, lo que sugiere un grupo potencialmente amplio de víctimas. La naturaleza silenciosa de la infección significa que muchos desarrolladores aún pueden desconocer que sus sistemas están comprometidos.

Mitigación y Buenas Prácticas para Desarrolladores

En respuesta a esta amenaza, los paquetes maliciosos han sido reportados y eliminados del registro de npm. Sin embargo, el incidente sirve como una advertencia severa. Los desarrolladores y las organizaciones deben adoptar una postura de seguridad proactiva:

1. Verifique las Dependencias Rigurosamente: Siempre verifique el origen y la reputación de un paquete de código abierto antes de incluirlo. Consulte el número de descargas, la actividad del mantenedor, el estado del repositorio en GitHub y las reseñas de usuarios.
2. Emplee Herramientas de Análisis de Composición de Software (SCA): Integre escáneres de seguridad que puedan detectar paquetes maliciosos conocidos, dependencias vulnerables y problemas de cumplimiento de licencias directamente en la canalización de CI/CD.
3. Aplique el Principio de Mínimo Privilegio: Los sistemas de desarrollo y construcción deben operar con los permisos mínimos necesarios. Aisle las actividades sensibles, especialmente aquellas que involucren claves de criptomonedas.
4. Monitoree en Busca de Anomalías: Implemente soluciones de detección y respuesta en endpoints (EDR) y supervise el tráfico de red en busca de conexiones inesperadas a direcciones IP o dominios desconocidos.
5. Utilice Archivos de Bloqueo y Versiones Fijadas: Utilice package-lock.json o similar para garantizar instalaciones reproducibles de versiones verificadas de dependencias, evitando actualizaciones automáticas a nuevas versiones potencialmente maliciosas.

El descubrimiento de NodeCordRAT subraya el peligro persistente y en evolución que acecha dentro de los repositorios de código abierto. A medida que los atacantes perfeccionan sus tácticas para apuntar a comunidades específicas y de alto valor, como los desarrolladores de criptomonedas, la responsabilidad recae tanto en los mantenedores de ecosistemas como npm como en los desarrolladores individuales para aumentar la vigilancia e implementar controles de seguridad robustos para salvaguardar la cadena de suministro de software.