Se han descubierto actores de amenazas desconocidos que propagan versiones troyanizadas de jQuery<\/a> en npm, GitHub y jsDelivr en lo que parece ser una instancia de un ataque a la cadena de suministro “complejo y persistente”.<\/p>\n “Este ataque se destaca por la alta variabilidad entre paquetes”, Phylum dicho<\/a> en un an\u00e1lisis publicado la semana pasada.<\/p>\n “El atacante ha ocultado inteligentemente el malware en un archivo poco utilizado”.fin<\/a>‘ funci\u00f3n de jQuery, que es llamada internamente por el m\u00e1s popular ‘desvanecerse hacia<\/a>‘funci\u00f3n de sus utilidades de animaci\u00f3n”.<\/p>\n Se han vinculado a la campa\u00f1a hasta 68 paquetes, que se publicaron en el registro npm entre el 26 de mayo y el 23 de junio de 2024, con nombres como cdnjquery, footersicons, jquertyi, jqueryxxx, logoo y sytlesheets, entre otros. <\/p>\n Hay evidencia que sugiere que cada uno de los paquetes falsos fueron ensamblados y publicados manualmente debido a la gran cantidad de paquetes publicados desde varias cuentas, las diferencias en las convenciones de nombres, la inclusi\u00f3n de archivos personales y el largo per\u00edodo de tiempo durante el cual fueron cargados.<\/p>\n Esto es diferente a otros m\u00e9todos com\u00fanmente observados en los que los atacantes tienden a seguir un patr\u00f3n predefinido que subraya un elemento de automatizaci\u00f3n involucrado en la creaci\u00f3n y publicaci\u00f3n de los paquetes.<\/p>\n Los cambios maliciosos, seg\u00fan Phylum, se han introducido en una funci\u00f3n denominada “end”, lo que permite al actor de amenazas filtrar datos del formulario del sitio web a una URL remota.<\/p>\n Una investigaci\u00f3n m\u00e1s profunda ha descubierto que el archivo jQuery troyanizado est\u00e1 alojado en un repositorio de GitHub asociado con una cuenta llamada “\u00edndicesc<\/a>. ” Tambi\u00e9n est\u00e1n presentes en el mismo repositorio archivos JavaScript que contienen un script que apunta a la versi\u00f3n modificada de la biblioteca.<\/p>\n “Vale la pena se\u00f1alar que jsDelivr construye estas URL de GitHub autom\u00e1ticamente sin necesidad de cargar nada al CDN expl\u00edcitamente”, dijo Phylum.<\/p>\n “Es probable que se trate de un intento del atacante de hacer que la fuente parezca m\u00e1s leg\u00edtima o de burlar los firewalls utilizando jsDelivr en lugar de cargar el c\u00f3digo directamente desde GitHub”.<\/p>\n El desarrollo se produce cuando Datadog identificado<\/a> una serie de paquetes en el repositorio Python Package Index (PyPI) con capacidades para descargar un binario de segunda etapa desde un servidor controlado por un atacante dependiendo de la arquitectura de la CPU.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Se-encuentran-paquetes-jQuery-troyanizados-en-los-repositorios-de-codigo.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n