Sha1-Hulud da ultimátum a sistemas infectados: robar tokens de acceso o destruir discos

En el ecosistema de npm se detecta nuevamente una amplia actividad maliciosa. En esta ocasión se trata de la segunda ola del ataque Shai-Hulud, que repite la lógica de la campaña de septiembre, pero actúa de forma mucho más agresiva. El incidente se propagó rápidamente entre la comunidad de desarrolladores, ya que los atacantes utilizaron los mecanismos habituales de distribución de código malicioso a través de paquetes de confianza y scripts de instalación automáticos.

Según varias empresas que vigilan la seguridad de la cadena de suministro, entre ellas Aikido, HelixGuard, Koi Security, Socket, Step Security y Wiz, un grupo desconocido introdujo cambios maliciosos en cientos de paquetes npm, subidos entre el 21 y el 23 de noviembre de 2025.

El archivo integrado en la sección preinstall obliga al sistema a instalar o buscar silenciosamente el entorno Bun, tras lo cual se ejecuta un script oculto que inicia acciones posteriores. Este esquema repite los métodos del ataque anterior, cuyo objetivo era robar secretos del entorno de los desarrolladores y publicar datos en repositorios externos de GitHub.

El análisis reveló que los paquetes infectados registran la máquina local como un runner casero llamado «SHA1HULUD». A continuación se añade al repositorio un workflow vulnerable a la inyección de comandos, que permite a los atacantes ejecutar operaciones arbitrarias en el equipo. También se añade una etapa para volcar datos confidenciales: los secretos de GitHub se copian en un archivo actionsSecrets.json, que luego se descarga de nuevo en la máquina comprometida, y se borran las huellas de la actividad.

Además, el código malicioso ejecuta la utilidad TruffleHog, usándola para buscar tokens de npm, claves de plataformas en la nube y otras variables de entorno. La evaluación de los especialistas de Wiz indica la magnitud del problema: confirman que se han visto afectados más de 25 000 repositorios, y el número de proyectos recién comprometidos aumenta cada media hora. Las acciones maliciosas se propagan a través de cuentas de mantenedores comprometidas, lo que hace que el ataque sea especialmente peligroso para la ecosistema abierto.

Un detalle adicional causa especial preocupación. Según Koi Security, si el código malicioso no logra acceder a GitHub o extraer tokens, pasa a destruir datos. Queda expuesto el directorio personal del usuario, incluidos todos los archivos con permiso de escritura. Ese escenario se activa solo si la autenticación falla, pero el simple hecho de que exista tal función indica un cambio serio en la táctica de los atacantes: de la recolección silenciosa de datos a acciones destructivas.

También se ha identificado un mecanismo de escalada de privilegios: mediante Docker se crea un contenedor privilegiado en el que se monta el sistema de archivos raíz. Esto permite sustituir la configuración de sudo y obtener acceso sin contraseña. Ese enfoque incrementa el riesgo de persistencia de la amenaza y de manipulaciones posteriores del sistema.

Se recomienda a las organizaciones verificar de inmediato la infraestructura en busca de paquetes comprometidos, eliminar todas las versiones sospechosas, rotar los tokens y revisar los workflows en la carpeta .github para detectar archivos o ramas inesperados relacionados con la familia Sha1-Hulud. Esto permitirá limitar la propagación de los scripts maliciosos mientras se siguen aclarando los detalles del ataque.