✨︎ Resumen (TL;DR):
- Hackers comprometieron cuatro paquetes de npm oficiales de SAP para ejecutar malware y robar datos.
- La campaña afectó potencialmente a 500,000 máquinas y extrajo hasta 300 GB de información confidencial.
- Expertos en seguridad recomiendan rotar inmediatamente todas las credenciales de los sistemas expuestos.
El 29 de abril, hackers vulneraron cuatro paquetes oficiales de npm de la empresa SAP en un ataque coordinado para robar credenciales de desarrolladores, secretos en la nube y tokens de autenticación. La ofensiva logró infiltrar código malicioso que afectó a cualquier sistema que instalara las versiones alteradas durante su periodo de exposición.
La campaña, identificada como “mini Shai-Hulud”, es la operación más reciente del grupo de amenazas TeamPCP. Esta organización ha intensificado sus ataques contra la infraestructura de código abierto desde principios de 2026.
Los paquetes comprometidos —mbt@1.2.48, @cap-js/db-service@2.10.1, @cap-js/postgres@2.2.2 y @cap-js/sqlite@2.2.2— se publicaron entre las 09:55 y las 12:14 UTC. Permanecieron disponibles en la plataforma durante dos a cuatro horas antes de que las versiones limpias los reemplazaran.
Para operar sin ser detectados, los atacantes utilizaron un script de preinstalación que ejecutaba el entorno Bun JavaScript. Esto les permitió eludir el monitoreo de seguridad estándar de Node.js y activar de forma silenciosa el robo de credenciales.
El mecanismo de propagación y extracción
Un Ataque de cadena de suministro es una táctica cibernética que compromete las herramientas o el código de un proveedor de confianza para infectar automáticamente a todos sus usuarios finales.
El malware desplegó cinco recolectores simultáneos para extraer tokens de npm, claves de GitHub, secretos de AWS, Azure, GCP, Kubernetes y contraseñas guardadas en navegadores. Los datos robados se cifraron con AES-256-GCM y se enviaron a repositorios públicos de GitHub creados desde las cuentas de las propias víctimas, utilizando una clave pública RSA-4096 vinculada a TeamPCP.
La firma de seguridad Socket reportó que los agresores vulneraron la cuenta de un desarrollador para inyectar un flujo de trabajo en una rama secundaria de los paquetes @cap-js. Así extrajeron un token OIDC de npm y publicaron las versiones contaminadas. Se sospecha que la vulneración del paquete mbt involucró un token estático robado de la cuenta “cloudmtabot”. SAP abordó el incidente mediante la Nota de Seguridad 3747787 el 30 de abril.
La operación destacó por su capacidad agresiva de autopropagación:
- El malware usó tokens de npm robados para listar todos los paquetes que mantenían las víctimas.
- Republicó los proyectos detectados con código malicioso inyectado.
- Ocultó las alteraciones bajo el inofensivo mensaje de confirmación “chore: update dependencies”.
SecurityBridge detectó más de mil repositorios infectados en pocas horas. Además, el ataque intentó mantener persistencia a través de archivos de configuración de Visual Studio Code y Claude Code. Según CSO Online, esto pone a las herramientas de codificación asistidas por IA en el centro de las vulnerabilidades actuales.
El 30 de abril, el investigador Kirill Boychenko reveló una campaña paralela originada en la cuenta de GitHub “BufferZoneCorp”. Esta operación utilizó módulos de Go y Ruby gems falsos para robar secretos de CI/CD, alterar flujos de GitHub Actions e implantar backdoors SSH.
Palo Alto Networks estima que el grupo ha extraído más de 300 GB de datos provenientes de 500,000 máquinas en toda su campaña ofensiva, la cual incluye ataques previos a herramientas como Trivy, KICS y LiteLLM. La firma Wiz emitió una directiva estricta advirtiendo que cualquier estación de trabajo o agente CI/CD que ejecutó el comando de instalación en las versiones afectadas de SAP está comprometido.
