Infecta a Claude, Cursor y VS Code mediante un servidor MCP falso: ¿qué es SANDWORM_MODE?

Los paquetes maliciosos aprendieron a disfrazarse como el funcionamiento habitual de los asistentes de IA y los sistemas de compilación. El gusano SANDWORM_MODE robaba claves, infectaba proyectos y se propagaba a través de las herramientas habituales de los desarrolladores.

La campaña fue detectada en febrero de 2026 por especialistas de Socket.dev. Los atacantes publicaron 19 paquetes npm maliciosos en nombre de dos editores. Resultaron afectados el registro de dependencias, los asistentes de IA, los sistemas de compilación, los almacenes de secretos, GitHub y los servicios de los proveedores de modelos de lenguaje.

Tras activarse, el gusano detectaba el tipo de entorno, buscaba tokens, contraseñas, claves de monederos de criptomonedas y otros secretos, y luego enviaba los datos encontrados a los atacantes. En los equipos de los desarrolladores, algunas funciones se activaban entre 48–96 horas, mientras que en los sistemas de compilación automática se iniciaban de inmediato.

SANDWORM_MODE se propagaba usando credenciales robadas. El gusano infectaba paquetes npm, realizaba cambios en repositorios disponibles en GitHub y podía conectarse a ellos por SSH. Para persistir, modificaba la configuración de Git, después de lo cual los proyectos nuevos y los clonados recibían automáticamente manejadores maliciosos.

Los asistentes de IA se convirtieron en un objetivo aparte. El gusano añadía a Claude Desktop, Cursor, Visual Studio Code y Windsurf una herramienta supuestamente confiable que obligaba a los asistentes a leer y transmitir claves SSH, tokens npm, credenciales de Amazon Web Services y otros secretos.

SANDWORM_MODE también buscaba claves de servicios de OpenAI, Anthropic, Google y otros proveedores de modelos de lenguaje, datos de gestores de contraseñas, notas, mensajes y el contenido del portapapeles. Para enviar la información robada se usaban varios canales de reserva.

Si el gusano no podía propagarse ni transmitir los datos, se activaba un escenario destructivo: SANDWORM_MODE sobrescribía de forma irreversible los archivos accesibles por el usuario.

Tras la publicación de Socket.dev, especialistas de CrowdStrike verificaron qué acciones del gusano se podían detectar de forma fiable. De 14 tipos de actividad estudiados, se obtuvo una señal notable para nueve, pero solo dos reglas resultaron lo bastante precisas para notificar a los clientes.

El principal problema era que SANDWORM_MODE imitaba las acciones habituales de los sistemas de compilación y de los asistentes de IA. Estas herramientas ejecutan comandos, modifican archivos, gestionan credenciales y envían código a repositorios, por lo que la actividad maliciosa apenas se diferenciaba de la legítima.

CrowdStrike comparó esa táctica con el abuso de las herramientas integradas del sistema operativo. En SANDWORM_MODE, la infraestructura de IA sirvió de cobertura, ya que posee inicialmente amplios privilegios y ejecuta comandos en nombre del desarrollador.