La comunidad de desarrollo vuelve a enfrentarse a uno de los incidentes de software supply chain más relevantes del año. Investigadores de Wiz Research, junto con análisis de Socket, SafeDep, Aikido Security y otros equipos especializados, confirmaron el compromiso de las populares librerías Keyv y Cacheable, utilizadas ampliamente en el ecosistema Node.js para implementar mecanismos de caché en aplicaciones y servicios.
Lo que inicialmente parecía una afectación limitada terminó convirtiéndose en una campaña con comportamiento similar a un gusano (worm), propagándose rápidamente hacia cientos de paquetes npm mediante credenciales comprometidas y publicaciones automáticas de nuevas versiones maliciosas.
Los atacantes comprometieron las cuentas de publicación de los mantenedores de Keyv y Cacheable, inyectando código malicioso dentro de nuevas versiones legítimas de los paquetes.
Dado que estas librerías forman parte de la cadena de dependencias de miles de proyectos, el código malicioso comenzó a distribuirse automáticamente cada vez que desarrolladores o pipelines de CI/CD instalaban o actualizaban dependencias.
El verdadero peligro no fue únicamente la ejecución durante la instalación, sino la capacidad del malware para seguir propagándose hacia otros paquetes y organizaciones, ampliando progresivamente el alcance del ataque.
Las investigaciones muestran que el payload tenía como objetivo recolectar información sensible del entorno donde era ejecutado.
Entre los datos buscados se encontraban:
process.env)..env.Posteriormente toda esta información era enviada hacia infraestructura controlada por los atacantes para facilitar compromisos posteriores y movimientos laterales dentro de entornos cloud y pipelines de desarrollo.
Uno de los aspectos más preocupantes del incidente es que el malware no se limitaba a robar información.
También intentaba utilizar los tokens npm robados para publicar nuevas versiones comprometidas de otros paquetes pertenecientes al mismo mantenedor u organización.
Este comportamiento convierte el incidente en una campaña de propagación automática similar a un gusano dentro del ecosistema npm.
Diversos investigadores estiman que el número de paquetes afectados creció rápidamente desde decenas hasta cientos de paquetes, con algunas investigaciones indicando más de 350 versiones comprometidas, mientras otros análisis elevaron la cifra incluso por encima de las 800 publicaciones.
Una característica especialmente peligrosa observada en campañas recientes relacionadas con este ecosistema es que algunos payloads modifican herramientas de desarrollo como:
Esto significa que eliminar el paquete comprometido o reinstalar las dependencias no siempre elimina completamente la infección, ya que el malware puede dejar mecanismos de persistencia dentro del entorno del desarrollador.
Este incidente no es un caso aislado.
Durante los últimos meses el ecosistema npm ha sufrido múltiples ataques de cadena de suministro, incluyendo:
En prácticamente todos los casos el objetivo ha sido el mismo: comprometer la estación de trabajo del desarrollador o el pipeline de CI/CD para obtener credenciales que permitan comprometer organizaciones completas.
El ecosistema npm supera ampliamente los millones de paquetes y depende de cadenas de dependencias extremadamente profundas.
Una única librería popular puede estar presente en miles de proyectos distintos.
Esto convierte a npm en uno de los objetivos más atractivos para ataques de cadena de suministro, ya que comprometer un solo paquete puede afectar simultáneamente a miles de organizaciones.
Los especialistas recomiendan:
package-lock.json, yarn.lock y pnpm-lock.yaml.min-release-age) antes de incorporarlas automáticamente en producción.El compromiso de Keyv y Cacheable confirma que los ataques a la cadena de suministro han evolucionado desde simples paquetes maliciosos hacia campañas altamente automatizadas capaces de propagarse entre organizaciones, comprometer pipelines de desarrollo y robar credenciales cloud a gran escala.
Para las organizaciones, la lección es clara: proteger únicamente el código propio ya no es suficiente. La seguridad debe extenderse a todo el ecosistema de dependencias, incluyendo repositorios públicos, herramientas de desarrollo, pipelines CI/CD y procesos de publicación.
Security researchers from Wiz Research, along with investigations from Socket, SafeDep, Aikido Security, and other security vendors, have confirmed an active supply chain compromise involving the widely used Keyv and Cacheable npm libraries, two popular caching frameworks used throughout the Node.js ecosystem.
What initially appeared to be a limited package compromise rapidly evolved into a worm-like supply chain attack, spreading malicious code across hundreds of npm packages through compromised maintainer credentials and automated publishing. Reddit
Attackers compromised maintainer publishing accounts and injected malicious code into legitimate package releases.
Because Keyv and Cacheable sit deep inside thousands of dependency trees, the malicious code was automatically installed whenever developers or CI/CD systems updated dependencies.
More concerning, the malware attempted to propagate itself by abusing stolen npm publishing tokens to compromise additional packages belonging to the same maintainers or organizations.
The malware harvested numerous secrets, including:
.env files.Collected data was exfiltrated to attacker-controlled infrastructure to facilitate cloud compromise, lateral movement, and further supply chain attacks.
Unlike traditional malicious packages, this campaign attempted to automatically compromise additional npm packages using stolen publishing credentials.
Researchers estimate that the campaign expanded from dozens of packages to hundreds of malicious releases, with several investigations reporting more than 350 compromised versions, while others identified over 800 affected package publications.
Some related campaigns have demonstrated persistence mechanisms targeting developer tools such as:
As a result, simply removing compromised packages may not fully eradicate the infection if persistence artifacts remain within developer environments.
This attack follows several major npm supply chain incidents over the past year involving:
In nearly every case, attackers sought developer credentials, cloud secrets, and CI/CD access rather than targeting end users directly.
Organizations should immediately:
min-release-age.The Keyv and Cacheable compromise illustrates how software supply chain attacks have evolved into highly automated campaigns capable of spreading across entire development ecosystems.
Securing proprietary code alone is no longer sufficient. Modern software security must include dependency governance, CI/CD protection, credential management, package integrity verification, and continuous monitoring of the entire software supply chain.
Tu Cadena de Suministro, Tu Superficie de Ataque.
XyberOne Supply Chain Monitor (SCM) permite identificar riesgos, filtraciones, vulnerabilidades y amenazas asociadas a terceros desde una única plataforma, entregando el contexto necesario para tomar decisiones antes de que ocurra un incidente. Monitorea y gestiona el Ciber-Riesgo de proveedores críticos mediante inteligencia continua proveniente de Surface Web, Deep y Dark Web.
Obtén visibilidad sobre exposiciones, filtraciones, amenazas activas y riesgos asociados a terceros antes de que impacten a tu organización.
Centraliza el CAOS, Controla el RIESGO!
Centraliza vulnerabilidades, amenazas, alertas, activos críticos y controles de cumplimiento para identificar, priorizar y reducir los riesgos que realmente pueden afectar la continuidad de tu negocio.
XyberOne RCC (Risk Command Center) es una plataforma de gestión centralizada del ciber-riesgo que consolida vulnerabilidades, amenazas, alertas, activos críticos y controles de cumplimiento en una única consola.
Su objetivo es entregar una visión integral del riesgo organizacional, transformando información dispersa en inteligencia accionable para priorizar esfuerzos, reducir la exposición y mejorar continuamente la postura de seguridad de la organización.
El Monitoreo de Dominios es un servicio de ciberseguridad que vigila en forma continua tus dominios y todo lo que se parezca a ellos para detectar señales tempranas de suplantación, phishing y abuso de marca.
Sirve para:
Detectar dominios parecidos (typosquatting, homoglyphs, TLDs distintos) usados para engañar a usuarios.
Identificar sitios clonados que imitan tu web, login, pagos o portales (phishing).
Monitorear cambios de DNS (MX, SPF, DKIM, DMARC, A/AAAA, NS) que puedan habilitar fraude o desvío de correo.
Detectar certificados TLS/SSL emitidos para dominios sospechosos (señal típica de campañas de phishing).
Alertar sobre infraestructura maliciosa asociada (IPs, hosting, patrones repetidos) y priorizar por riesgo.
Apoyar acciones de takedown y bloqueo (registradores, hosting, listas de denegación, gateways de correo).
En simple: te permite ver y cortar rápido los intentos de suplantación digital antes de que afecten a clientes, pacientes, usuarios o colaboradores, y reduce fraude, pérdida de confianza y riesgo reputacional.
El Monitoreo de Dark Web es un servicio de ciberinteligencia que busca y vigila de forma continua en foros clandestinos, marketplaces, sitios de leaks y comunidades cerradas donde se publican, venden o comparten datos robados.
Sirve para:
Detectar filtraciones asociadas a tu organización (bases de datos, documentos, correos, PII).
Encontrar credenciales comprometidas (usuarios/contraseñas) antes de que se usen en accesos no autorizados.
Identificar venta de accesos a sistemas (VPN, RDP, correo, SSO, paneles).
Anticipar extorsión/ransomware (menciones, “samples”, anuncios de leak).
Proteger marca y clientes: señales de phishing, suplantación, fraude.
Entregar alertas y evidencia para investigación y respuesta a incidentes.
En simple: te da visibilidad de lo que pasa fuera de tu perímetro, donde normalmente aparece la información robada antes de que el ataque escale o se haga público.
El servicio de CTI (Cyber Threat Intelligence) es la capacidad de buscar, analizar y transformar información sobre ciberamenazas en decisiones concretas para reducir riesgo. Sirve para anticiparse: entender quién te puede atacar, cómo lo haría, qué señales dejaría y qué debes reforzar antes de que pase.
¿Qué entrega normalmente?
En una frase: CTI convierte ruido del mundo criminal en inteligencia accionable para prevenir, detectar y responder mejor.
Un CyberSOC (Cyber Security Operations Center) es un centro especializado que monitorea, detecta y responde a amenazas de ciberseguridad de forma continua (24×7). Su función es proteger los activos digitales de una organización mediante el análisis de eventos, correlación de alertas y gestión estructurada de incidentes.
Sirve para identificar ataques en tiempo real, reducir el impacto de incidentes, cumplir con normativas y fortalecer la postura de seguridad del negocio. En simple: es el equipo y la tecnología que vigilan tu infraestructura digital para que tu operación no se detenga frente a ciberamenazas.
El pentesting o Test de penetración, en español) es una técnica de ciberseguridad que consistente en atacar entornos informáticos con la intención de descubrir vulnerabilidades en los mismos, con el objetivo de reunir la información necesaria para poder prevenir en el futuro ataques externos hacia esos mismos …
El Servicio de Seguridad en Ciclo de Desarrollo es un enfoque integral que garantiza la protección de los proyectos de software desde su fase inicial de diseño hasta su implementación final. Esto implica integrar medidas de seguridad en cada etapa del proceso de desarrollo, desde la planificación hasta la entrega del producto. La importancia de este servicio radica en varios aspectos:
En resumen, el Servicio de Seguridad en Ciclo de Desarrollo es esencial para garantizar que los productos de software sean seguros, confiables y cumplan con los estándares de seguridad y privacidad, lo que resulta en beneficios tanto para la empresa como para sus clientes.
El Phishing Ético es una servicio que consiste en realizar actividades de Ingeniería Social con propósitos legítimos y éticos, generalmente como parte de una Campaña de Concientización, Evaluación de Seguridad, Prueba de un Pentesting o Red Team.
Para más información ingresa aquí: https://www.xpoint.cl/phishing-etico/
Un Red Team en ciberseguridad es un grupo de profesionales que simulan ser adversarios externos para evaluar la seguridad de un sistema o red. Utilizan tácticas similares a las de ciberdelincuentes reales, llevan a cabo pruebas de penetración, analizan riesgos y proporcionan recomendaciones para mejorar la seguridad. Su enfoque proactivo ayuda a las organizaciones a identificar y abordar vulnerabilidades, fortaleciendo así sus defensas contra amenazas potenciales.
La gestión de vulnerabilidades es un proceso integral que se centra en identificar, evaluar y abordar las debilidades en la seguridad de un sistema o red. Este proceso sigue varios pasos clave:
La gestión de vulnerabilidades es esencial para mantener la seguridad de la información en un entorno digital en constante cambio, minimizando el riesgo de explotación y fortaleciendo las defensas contra posibles amenazas.
