Los investigadores de ciberseguridad han descubierto dos paquetes maliciosos en el registro NPM que est\u00e1n dise\u00f1ados para infectar otro paquete instalado localmente, subrayando la evoluci\u00f3n continua de los ataques de la cadena de suministro de software dirigido al ecosistema de c\u00f3digo abierto.<\/p>\n
Los paquetes en cuesti\u00f3n son Esters-Provider2<\/a> y Esters-Providerz<\/a>con el primero descargado 73 veces hasta la fecha desde que era publicado<\/a> el 15 de marzo de 2025. El segundo paquete, probablemente eliminado por el autor de malware, no atrajo ninguna descarga.<\/p>\n “Eran descargadores simples cuya carga \u00fatil maliciosa estaba inteligentemente escondida”, la investigadora de reversinglabs Lucija Valenti\u0107 dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n “La parte interesante estaba en su segunda etapa, que ‘parchear\u00eda’ el paquete leg\u00edtimo de NPM \u00e9ter<\/a>instalado localmente, con un nuevo archivo que contiene la carga \u00fatil maliciosa. Ese archivo parcheado finalmente servir\u00eda a un shell inverso “.<\/p>\n El desarrollo marca una nueva escalada de las t\u00e1cticas de los actores de amenaza, ya que desinstalar los paquetes deshonestos no librar\u00e1 a las m\u00e1quinas comprometidas de la funcionalidad maliciosa, ya que los cambios residen en la biblioteca popular. Adem\u00e1s de eso, si un usuario desprevenido elimina el paquete Ethers cuando Ethers-Provider2 permanece en el sistema, corre el riesgo de reinfecci\u00f3n cuando el paquete se instala nuevamente en un momento posterior.<\/p>\n El an\u00e1lisis de ReversingLabs de Ethers-Provider2 ha revelado que no es m\u00e1s que una versi\u00f3n troyana del amplio utilizado. ssh2<\/a> Paquete NPM que incluye una carga \u00fatil maliciosa dentro de Install.js para recuperar un malware de segunda etapa de un servidor remoto (“5.199.166[.]1: 31337\/install “), escr\u00edbelo a un archivo temporal y ejecutarlo.<\/p>\n Inmediatamente despu\u00e9s de la ejecuci\u00f3n, el archivo temporal se elimina del sistema en un intento por evitar dejar cualquier rastro. La carga \u00fatil de la segunda etapa, por su parte, inicia un bucle infinito para verificar si el \u00e9ter del paquete NPM se instala localmente. <\/p>\n En el caso de que el paquete ya est\u00e9 presente o se instale reci\u00e9n instalado, se pone en acci\u00f3n reemplazando uno de los archivos llamados “Provider-JsonRpc.js” con una versi\u00f3n falsificada que incluye un c\u00f3digo adicional para obtener y ejecutar una tercera etapa del mismo servidor. La carga \u00fatil recientemente descargada funciona como un shell inverso para conectarse al servidor del actor de amenaza a trav\u00e9s de SSH.<\/p>\n “Eso significa que la conexi\u00f3n abierta con este cliente se convierte en un shell inverso una vez que recibe un mensaje personalizado del servidor”, dijo Valenti\u0107. “Incluso si el paquete Ethers-Provider2 se elimina de un sistema comprometido, el cliente a\u00fan se utilizar\u00e1 bajo ciertas circunstancias, proporcionando cierto grado de persistencia para los atacantes”.<\/p>\n Vale la pena se\u00f1alar en esta etapa que el paquete oficial de Ethers en el registro NPM no se ve comprometido, ya que las modificaciones maliciosas se realizan localmente despu\u00e9s de la instalaci\u00f3n.<\/p>\n El segundo paquete, Ethers-Providerz, tambi\u00e9n se comporta de manera similar, ya que intenta alterar archivos asociados con un paquete NPM instalado localmente llamado “@Ethersproject\/Providers”. Se desconoce el paquete NPM exacto dirigido por la biblioteca, aunque las referencias del c\u00f3digo fuente indican que podr\u00eda haber sido cargador.js<\/a>.<\/p>\n Los hallazgos sirven para resaltar las nuevas formas en que los actores de amenaza est\u00e1n sirviendo y persistiendo malware en los sistemas de desarrolladores, lo que hace que sea esencial que los paquetes de repositorios de c\u00f3digo abierto se analicen cuidadosamente antes de descargarlos y usarlos.<\/p>\n “A pesar de los bajos n\u00fameros de descarga, estos paquetes son potentes y maliciosos”, dijo Valenti\u0107. “Si su misi\u00f3n es exitosa, corromper\u00e1n los \u00e9teres del paquete instalado localmente y mantendr\u00e1n la persistencia en los sistemas comprometidos incluso si se elimina ese paquete”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/El-paquete-NPM-malicioso-modifica-la-biblioteca-local-de-eteres.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n