8 Min. de lectura<\/p>\n
El 31 de marzo de 2026, la empresa de seguridad StepSecurity descubri\u00f3 un troyano de acceso remoto en dos versiones manipuladas del paquete npm Axios, una de las bibliotecas JavaScript m\u00e1s utilizadas en el mundo, con m\u00e1s de 100 millones de descargas semanales. El ataque aprovech\u00f3 una dependencia falsa, una cuenta de mantenedor secuestrada y un servidor C2 para instalar puertas traseras multiplataforma en m\u00e1quinas de desarrolladores. Se considera uno de los ataques a la cadena de suministro m\u00e1s sofisticados en la historia del ecosistema npm.<\/strong><\/p>\n Lo m\u00e1s importante en resumen<\/p>\n Axios lleva m\u00e1s de diez a\u00f1os siendo una de las bibliotecas JavaScript m\u00e1s populares para peticiones HTTP. Aunque entornos de ejecuci\u00f3n modernos como Node.js y Deno ya soportan la API Fetch nativa, millones de desarrolladores siguen prefiriendo Axios por su API m\u00e1s c\u00f3moda, la transformaci\u00f3n autom\u00e1tica de JSON y los interceptores integrados. Esta difusi\u00f3n lo convirti\u00f3 en un objetivo ideal.<\/p>\n El 30 de marzo de 2026 a las 23:59 UTC, un atacante public\u00f3 la versi\u00f3n 4.2.1 del paquete npm plain-crypto-js, un paquete que se asemeja sospechosamente al leg\u00edtimo y ampliamente utilizado crypto-js. Veintid\u00f3s minutos despu\u00e9s, sigui\u00f3 la versi\u00f3n manipulada 1.14.1 de Axios, etiquetada como \u00ablatest\u00bb. A la 01:00 UTC apareci\u00f3 adem\u00e1s la versi\u00f3n 0.30.4, etiquetada como \u00ablegacy\u00bb. Ambas versiones de Axios inclu\u00edan plain-crypto-js como nueva dependencia en tiempo de ejecuci\u00f3n.<\/p>\n El ataque fue cuidadosamente orquestado. Ya 18 horas antes, el atacante hab\u00eda publicado una versi\u00f3n inofensiva 4.2.0 de plain-crypto-js, una versi\u00f3n se\u00f1uelo que no activ\u00f3 alarmas en los escaneos automatizados. Solo la versi\u00f3n 4.2.1 conten\u00eda el c\u00f3digo malicioso real.<\/p>\n Normalmente, las versiones de Axios se publican a trav\u00e9s de GitHub Actions. Las versiones manipuladas, en cambio, se publicaron directamente mediante una cuenta de npm comprometida. El atacante hab\u00eda tomado el control de la cuenta del principal mantenedor, jasonsaayman, y reemplazado la direcci\u00f3n de correo electr\u00f3nico registrada por una de Proton Mail. Hasta abril de 2026, no se ha confirmado p\u00fablicamente c\u00f3mo se logr\u00f3 el secuestro de la cuenta.<\/p>\n npm elimin\u00f3 ambas versiones en un plazo de dos a tres horas. En el caso de un paquete con m\u00e1s de 100 millones de descargas semanales, incluso unas pocas horas representan una ventana cr\u00edtica.<\/p>\n Medida inmediata necesaria<\/p>\n Revise su package.json en busca de axios@1.14.1<\/strong> o axios@0.30.4<\/strong>. Si el paquete plain-crypto-js<\/strong> est\u00e1 en sus node_modules, trate el sistema como comprometido.<\/p>\n Versiones seguras: axios@1.14.0<\/strong> y axios@0.30.3<\/strong>.<\/p>\n<\/div>\n El c\u00f3digo fuente de Axios en s\u00ed no conten\u00eda c\u00f3digo malicioso. La manipulaci\u00f3n se limit\u00f3 a a\u00f1adir plain-crypto-js como dependencia en el archivo package.json. Quien solo hubiera auditado el c\u00f3digo de Axios no habr\u00eda encontrado nada. El arma real estaba oculta en la nueva dependencia.<\/p>\n El paquete plain-crypto-js conten\u00eda un script postinstall llamado setup.js. En cuanto un desarrollador ejecutaba npm install, se pon\u00eda en marcha en segundo plano un JavaScript ofuscado con XOR de dos etapas: el llamado RAT-Dropper. Este actuaba en cuatro fases:<\/p>\n Fase 1 – Reconocimiento del sistema:<\/strong> El script identifica el sistema operativo del equipo objetivo. Se soportan macOS, Windows y Linux.<\/p>\n Fase 2 – Descarga de la carga \u00fatil:<\/strong> El dropper establece una conexi\u00f3n con el servidor de comando y control (dominio: sfrclak.com, IP: 142.11.206.73, puerto 8000). Desde all\u00ed se descarga un binario espec\u00edfico para cada plataforma.<\/p>\n Fase 3 – Ejecuci\u00f3n:<\/strong> El RAT se escribe en el disco duro y se inicia. En macOS se instala como com.apple.act.mond en la cach\u00e9 de la biblioteca y se ejecuta mediante \/bin\/zsh. En Windows se camufla como wt.exe (Windows Terminal) en %PROGRAMDATA% y utiliza un dropper en VBScript. En Linux se descarga un RAT en Python en \/tmp\/ld.py y se inicia en segundo plano con nohup.<\/p>\n Fase 4 – Eliminaci\u00f3n de huellas:<\/strong> El script postinstall se borra a s\u00ed mismo y reemplaza su propio package.json por la versi\u00f3n limpia 4.2.0. Un posterior npm list muestra la versi\u00f3n 4.2.0. Un npm audit no detecta nada sospechoso. La infecci\u00f3n est\u00e1 activa, pero es invisible.<\/p>\n Una vez instalado, el RAT tiene acceso a todo lo que se encuentra en el sistema comprometido: credenciales de AWS, claves de API de OpenAI, tokens de GitHub, claves SSH, archivos .env con contrase\u00f1as de bases de datos. En entornos CI\/CD, las consecuencias pueden ser a\u00fan m\u00e1s graves: all\u00ed suelen almacenarse credenciales de despliegue, claves de firma y accesos a sistemas de producci\u00f3n. Un servidor de compilaci\u00f3n comprometido puede convertirse en la puerta de entrada a toda la infraestructura.<\/p>\n StepSecurity descubri\u00f3 el ataque a trav\u00e9s de su AI Package Analyst y la herramienta de monitorizaci\u00f3n en tiempo de ejecuci\u00f3n Harden-Runner en pipelines de GitHub Actions instrumentadas. La herramienta registra las conexiones de red salientes durante npm install y salt\u00f3 la alarma cuando se contact\u00f3 con un servidor C2 desconocido.<\/p>\n \n\u00abEl consejo de seguridad m\u00e1s importante lleva a\u00f1os siendo el mismo: mant\u00e9n tus paquetes actualizados. Desde hace poco, da la sensaci\u00f3n de que precisamente eso es el camino m\u00e1s r\u00e1pido para ser comprometido.\u00bb Los ataques a la cadena de suministro en npm no son nuevos. El incidente de event-stream en 2018 pas\u00f3 desapercibido durante meses y ten\u00eda como objetivo carteras de criptomonedas. La vulneraci\u00f3n de ua-parser-js en 2021 afect\u00f3 a un paquete con siete millones de descargas semanales y distribuy\u00f3 *credential stealers*. El sabotaje de colors.js en 2022 fue una acci\u00f3n de protesta pol\u00edtica del propio mantenedor. Cada uno de estos incidentes sacudi\u00f3 el ecosistema, y sin embargo, el ataque a Axios supone una escalada.<\/p>\n La magnitud del objetivo no tiene precedentes: Axios es uno de los diez paquetes npm m\u00e1s utilizados. El radio de impacto de una vulneraci\u00f3n exitosa afecta potencialmente a cientos de miles de proyectos y pipelines de CI\/CD en todo el mundo.<\/p>\n La sofisticaci\u00f3n supera con creces a ataques anteriores. En lugar de insertar c\u00f3digo malicioso directamente en el c\u00f3digo fuente, el atacante emple\u00f3 una inyecci\u00f3n de dependencias escalonada con activaci\u00f3n retardada y borrado autom\u00e1tico de huellas. Tras la instalaci\u00f3n, el sistema parec\u00eda limpio: un camuflaje activo que va mucho m\u00e1s all\u00e1 de un ocultamiento pasivo. StepSecurity registr\u00f3 el primer contacto con el servidor de comando y control (C2) en tan solo dos segundos tras un *npm install* en un *runner* instrumentado. Sin este monitoreo automatizado, el ataque podr\u00eda haber pasado desapercibido durante mucho m\u00e1s tiempo.<\/p>\n La comparaci\u00f3n con incidentes previos en npm evidencia la escalada: en el ataque a event-stream de 2018, un atacante se hizo con un paquete abandonado mediante ingenier\u00eda social y coloc\u00f3 c\u00f3digo malicioso durante meses, dirigido a carteras de Bitcoin. En el caso de ua-parser-js de 2021, se secuestr\u00f3 la cuenta del mantenedor y se distribuy\u00f3 un *credential stealer*, similar al ataque a Axios, pero sin el ocultamiento en m\u00faltiples capas ni *payloads* multiplataforma. El sabotaje de colors.js en 2022 fue una acci\u00f3n de protesta consciente del mantenedor, no una vulneraci\u00f3n externa.<\/p>\n A esto se suma la atribuci\u00f3n: Microsoft Threat Intelligence atribuye el ataque al grupo Sapphire Sleet, mientras que Google Threat Intelligence Group lo vincula a UNC1069. Ambas denominaciones apuntan a actores norcoreanos con motivaci\u00f3n financiera. Elastic Security Labs identific\u00f3 solapamientos del binario para macOS con WAVESHAPER, una *backdoor* norcoreana conocida. De confirmarse esta clasificaci\u00f3n, ser\u00eda el primer caso documentado en el que un actor estatal compromete un paquete npm del *top 100*.<\/p>\n El compromiso no afecta solo a los desarrolladores de JavaScript. Toda organizaci\u00f3n que utilice Axios en sus proyectos o pipelines de CI\/CD deber\u00eda priorizar las siguientes medidas:<\/p>\n El incidente de Axios pone al descubierto un problema fundamental del ecosistema npm: una sola cuenta con un token de publicaci\u00f3n v\u00e1lido puede distribuir c\u00f3digo malicioso a millones de sistemas. npm ha avanzado con Trusted Publishers y autenticaci\u00f3n basada en OIDC, pero el atacante eludi\u00f3 precisamente este mecanismo al tomar el control de la cuenta del mantenedor.<\/p>\n Para los CISO y los equipos de seguridad de TI, surge una prioridad clara: la seguridad de la cadena de suministro de software debe alcanzar el mismo nivel de importancia que la seguridad de red o de endpoints. El monitoreo automatizado de dependencias, el an\u00e1lisis en tiempo de ejecuci\u00f3n en pipelines de CI\/CD y pol\u00edticas estrictas para paquetes de terceros ya no son opcionales.<\/p>\n En concreto, esto significa que toda organizaci\u00f3n necesita una Software Bill of Materials (SBOM) actualizada, alertas automatizadas ante cambios inusuales en las dependencias y una pol\u00edtica clara sobre la rapidez con la que las nuevas versiones de paquetes pueden implementarse en sistemas productivos. Usar archivos de bloqueo de manera consistente, desactivar scripts postinstall en CI\/CD por defecto y configurar pol\u00edticas de antig\u00fcedad m\u00ednima de versiones son tres medidas que eliminan la mayor parte de esta superficie de ataque. El pr\u00f3ximo ataque no se dirigir\u00e1 contra Axios, pero utilizar\u00e1 el mismo mecanismo.<\/p>\n Solo si tiene instalada la versi\u00f3n 1.14.1 o 0.30.4. Todas las dem\u00e1s versiones no est\u00e1n afectadas. Revise su package.json y sus archivos de bloqueo (package-lock.json, yarn.lock, pnpm-lock.yaml).<\/p>\n No. Si el RAT ya se ejecut\u00f3, se ha copiado en rutas del sistema y ha eliminado el script postinstall. Un downgrade de Axios por s\u00ed solo no elimina el troyano. Trate el sistema como comprometido y rote todas las credenciales.<\/p>\n El vector de ataque exacto, a abril de 2026, no est\u00e1 confirmado p\u00fablicamente. Se sabe que la direcci\u00f3n de correo electr\u00f3nico registrada en la cuenta npm de jasonsaayman se cambi\u00f3 por una direcci\u00f3n de Proton Mail y que los releases evitaron la pipeline habitual de GitHub Actions.<\/p>\n A abril de 2026, no se ha asignado ninguna CVE. Varias empresas de seguridad han documentado el incidente, pero a\u00fan no se ha formalizado la asignaci\u00f3n de una CVE.<\/p>\n npm no realiza an\u00e1lisis automatizado de comportamiento al publicar paquetes. Estos se revisan principalmente en busca de firmas de malware conocidas. Un script postinstall que contacta con un servidor externo no es t\u00e9cnicamente inusual: muchos paquetes leg\u00edtimos utilizan mecanismos similares para pasos de configuraci\u00f3n. La detecci\u00f3n se produjo gracias a un monitoreo externo, no a los propios mecanismos de protecci\u00f3n de npm.<\/p>\n Utilice archivos de bloqueo de manera consistente, ejecute npm ci en lugar de npm install en pipelines de CI\/CD, active –ignore-scripts para paquetes no confiables y emplee herramientas de monitoreo en tiempo de ejecuci\u00f3n. Una pol\u00edtica de antig\u00fcedad m\u00ednima de versiones evita que las versiones reci\u00e9n publicadas se instalen autom\u00e1ticamente. Adem\u00e1s, los equipos deber\u00edan mantener una Software Bill of Materials (SBOM) y configurar alertas automatizadas ante cambios en las dependencias.<\/p>\n Fuente de la imagen: Generada por IA (mayo de 2026), certificado C2PA incrustado en la imagen<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Hackers norcoreanos comprometieron dos versiones del paquete npm Axios e inyectaron un troyano de acceso remoto multiplataforma. Con m\u00e1s de 100 millones de descargas semanales, una ventana de tres horas bast\u00f3 para demostrar una nueva dimensi\u00f3n de los ataques a la cadena de suministro.","protected":false},"author":50,"featured_media":15299,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ataque npm","_yoast_wpseo_title":"Ataque npm a Axios: c\u00f3mo una cuenta de mantenedor secuestrada amenaz\u00f3 a millones","_yoast_wpseo_metadesc":"Ataque a la cadena de suministro en Axios npm: 2 versiones manipuladas con RAT.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[253],"tags":[],"class_list":["post-7818","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualidad"],"evm_reading_time_minutes":12,"wpml_language":"es","wpml_translation_of":7751,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7818","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=7818"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7818\/revisions"}],"predecessor-version":[{"id":16133,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7818\/revisions\/16133"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/15299"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=7818"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=7818"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=7818"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Qu\u00e9 ocurri\u00f3<\/h2>\n
Anatom\u00eda del ataque: del script postinstall al servidor C2<\/h2>\n
\n– Nota de la redacci\u00f3n<\/cite>\n<\/p><\/blockquote>\nPor qu\u00e9 este ataque marca una nueva calidad<\/h2>\n
Qu\u00e9 deben hacer ahora los equipos de TI<\/h2>\n
\n
La vulnerabilidad estructural persiste<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfEstoy afectado si uso Axios?<\/h3>\n
\u00bfBasta con desinstalar la versi\u00f3n afectada de Axios?<\/h3>\n
\u00bfC\u00f3mo se comprometi\u00f3 la cuenta del mantenedor?<\/h3>\n
\u00bfExiste un n\u00famero CVE para este incidente?<\/h3>\n
\u00bfPor qu\u00e9 npm no detect\u00f3 antes las versiones maliciosas?<\/h3>\n
\u00bfQu\u00e9 puedo hacer para mitigar en general los ataques a la cadena de suministro?<\/h3>\n
Recomendaciones de lectura de la redacci\u00f3n<\/h2>\n
\n
M\u00e1s de la red MBF Media<\/h2>\n
\n