Investigadores de ciberseguridad descubrieron un paquete malicioso en NuGet que se hace pasar por un kit de desarrollo de software (SDK) en C# para Sicoob, uno de los sistemas financieros cooperativos más grandes de Brasil, con el objetivo de robar identificadores de cliente y certificados PFX.
Según la firma de seguridad Socket, las versiones 2.0.0 a 2.0.4 del paquete "Sicoob.Sdk" contienen funcionalidad para exfiltrar información sensible, incluidos certificados PFX que se utilizan para autenticar empresas en la red bancaria de Sicoob y automatizar operaciones bancarias, como procesar pagos instantáneos y generar códigos Pix QR dinámicos. Se estima que el paquete ha sido descargado casi 500 veces.
Cuando un desarrollador instancia SicoobClient con un ID de cliente, una ruta de archivo PFX y una contraseña PFX, el paquete lee el archivo PFX del disco, codifica su contenido en Base64 y envía el ID de cliente, la contraseña PFX y los datos PFX codificados a un endpoint de Sentry de terceros predefinido, dijo el investigador de seguridad Kirill Boychenko.
Además, el paquete está diseñado para capturar respuestas sin procesar de la API de Boleto a través de una ruta separada de Sentry. Boleto es un método de pago en efectivo popular en Brasil para compras en línea y fuera de línea. Esto puede exponer potencialmente detalles sensibles de transacciones, estado de pago, montos, fechas de vencimiento, identificadores y datos del pagador o beneficiario.
Como resultado, los datos robados podrían abrir la puerta a graves riesgos, ya que el actor de amenazas podría abusar de ellos para suplantar la integración de la API bancaria de Sicoob de la víctima, según Socket. Tras una divulgación responsable, el paquete ha sido bloqueado por NuGet. El perfil detrás del paquete, llamado "sicoob", también ha listado otros 11 paquetes NuGet que en conjunto han acumulado alrededor de 6.000 descargas.
La compañía de seguridad de aplicaciones también señaló que el paquete fue mostrado por Google Search AI Mode como una biblioteca C# legítima para interactuar con las APIs bancarias de Sicoob, amplificando así la exposición del paquete malicioso a desarrolladores desprevenidos que pudieran estar buscándolo.
Otro aspecto importante del ataque es la discrepancia entre el repositorio de GitHub vinculado y el artefacto distribuido a través de NuGet. Se sospecha que el repositorio de GitHub está diseñado para dar una apariencia de legitimidad a la operación manteniéndolo limpio, mientras que la funcionalidad maliciosa de robo de datos se introduce solo en el paquete subido al registro.
Además, el compromiso del material de autenticación de la API de Sicoob también puede plantear riesgos indirectos para los usuarios finales, ya que podría filtrar datos financieros aguas abajo o permitir el abuso de pagos.
Se recomienda a las organizaciones que hayan instalado "Sicoob.Sdk" que eliminen el paquete inmediatamente, traten el material PFX como comprometido, reemplacen los certificados PFX expuestos, roten las contraseñas PFX y cambien o deshabiliten los IDs de cliente afectados cuando corresponda. También se aconseja auditar los logs de autenticación y API de Sicoob en busca de signos de actividad inusual.
Este desarrollo coincide con el descubrimiento de 14 paquetes npm maliciosos que suplantan bibliotecas conocidas de OpenSearch, ElasticSearch, DevOps y configuración de entorno para robar credenciales de AWS, tokens de HashiCorp Vault, tokens de npm y secretos de pipelines CI/CD del entorno anfitrión mediante un recolector de credenciales especialmente diseñado que se ejecuta a través de un gancho de preinstalación.
Según el Equipo de Investigación de Seguridad de Microsoft Defender, los paquetes fueron publicados por un único actor de amenazas llamado "vpmdhaj" ("a39155771@gmail.com") el 28 de mayo de 2026. Los nombres de los paquetes son:
- @vpmdhaj/devops-tools
- @vpmdhaj/elastic-helper
- @vpmdhaj/opensearch-setup
- @vpmdhaj/search-setup
- app-config-utility
- elastic-opensearch-helper
- env-config-manager
- opensearch-config-utility
- opensearch-security-scanner
- opensearch-setup
- opensearch-setup-tool
- search-cluster-setup
- search-engine-setup
- vpmdhaj-opensearch-setup
Los hallazgos son los últimos de una sorprendente oleada de campañas de ataque a la cadena de suministro que han atacado el ecosistema npm en los últimos días:
- 164 paquetes npm maliciosos en cinco espacios de nombres con ámbito que contienen una carga útil postinstall que descarga JavaScript de segunda etapa, lo ejecuta como un proceso separado y envía las variables de entorno de la víctima a "oob.moika[.]tech/report".
- 141 paquetes npm maliciosos publicados entre el 7 y el 27 de mayo de 2026 que abusan de npm como alojamiento estático gratuito para un proxy web monetizado con anuncios dirigido a estudiantes, mostrando anuncios emergentes a quienes acceden a estas páginas a través de resultados de búsqueda o enlaces compartidos.
- Un paquete npm malicioso llamado "forge-jsxy" capaz de keylogging, monitoreo del portapapeles, escaneo de .env, exfiltración del historial del shell, inventario del host, acceso remoto al sistema de archivos, captura de pantalla y escaneo de billeteras de criptomonedas. Se evalúa como una continuación de la campaña "forge-jsx" que salió a la luz a finales del mes pasado.
- 176 paquetes npm maliciosos que emplean confusión de dependencias mediante el uso de un número de versión alto ("99.99.99") para distribuir un script postinstall con capacidades para identificar el host y descargar una carga útil JavaScript específica de la plataforma, que luego realiza reconocimiento adicional, exfiltra credenciales y otros secretos valiosos de desarrolladores, y descarga y ejecuta un binario de segunda etapa.
En un informe recién publicado, Sonatype dijo que los actores de amenazas han superado las técnicas clásicas de typosquatting, pasando de errores ortográficos obvios a usar nombres que parecen convincentes en flujos de trabajo legítimos de desarrolladores para robar datos y enviar cargas útiles maliciosas. Esto transforma un paso de instalación rutinario en una vía propensa a riesgos para reconocimiento, robo de credenciales y compromiso posterior.
Las técnicas populares de suplantación de marca incluyen la adición de prefijos o sufijos, confusión de dependencias, imitación de versiones, términos objetivo incrustados, ámbitos o espacios de nombres alterados, y nombres que se asemejan a la función de un paquete legítimo.
El 'typosquatting' es ahora una etiqueta demasiado estrecha para lo que captura este análisis. El patrón más amplio es la legitimidad fabricada: los atacantes diseñan nombres de paquetes para que parezcan plausibles, útiles y operativamente rutinarios dentro de los ecosistemas de software modernos, dijo la compañía de seguridad de la cadena de suministro.
Estos incidentes también se han desarrollado en el contexto de una serie de compromisos de la cadena de suministro de software que se han vinculado a TeamPCP (también conocido como Replicating Marauder y UNC6780), que se ha convertido en una fuerza a tener en cuenta al envenenar herramientas populares de desarrollo en npm, PyPI, Docker Hub y Packagist de manera similar a un gusano.
Replicating Marauder no solo insertaba código malicioso en paquetes, sino que también explotaba la automatización, la confianza heredada y los flujos de trabajo CI/CD ordinarios para empujar el compromiso más aguas abajo, dijo el investigador de BlueVoyant Michael Warren. Este fue el punto en el que la campaña demostró más claramente que una dependencia envenenada o una imagen de contenedor podía desencadenar un compromiso en el pipeline de lanzamiento de una organización no relacionada. El cambio táctico convirtió el envenenamiento de software aislado en un método reproducible para la expansión de víctima a víctima.
Actualización
La campaña que publicó 164 paquetes npm maliciosos en cinco espacios de nombres con ámbito para distribuir una carga útil JavaScript se ha expandido a 179 paquetes, con una tercera cuenta de npm además de mr.4nd3r50n y pik-libs, identificada como t-in-one, que ha enviado 12 paquetes más en tres nuevos ámbitos.
Cada paquete en esta ola lleva el mismo gancho postinstall, reporta al mismo host oob.moika[.]tech y se autentica con el mismo secreto codificado l95HdDaz3kQx1Zsg3WxH6HvKANf51RY1, dijo SafeDep. Ese valor solo había aparecido antes en las cuentas mr.4nd3r50n y pik-libs. Su reutilización en una tercera cuenta vincula las tres a un solo operador.
Vale la pena señalar que "l95HdDaz3kQx1Zsg3WxH6HvKANf51RY1" se refiere al valor del encabezado HTTP X-Secret codificado enviado en cada solicitud C2 saliente de las tres cuentas, actuando como un marcador de atribución de un solo operador. Los paquetes y usuarios identificados han sido eliminados por npm.
Microsoft, que también publicó detalles de la misma campaña, dijo que la actividad está diseñada para enviar paquetes que reflejan espacios de nombres corporativos internos reales, aprovechando la confusión de dependencias para enviar un dropper JavaScript ofuscado para el reconocimiento del entorno y el robo de credenciales.
La carga útil se ejecuta silenciosamente durante npm install y opera en modo solo reconocimiento, recopilando información del sistema, nombres de host, variables de entorno y contexto del desarrollador, dijo el fabricante de Windows. La arquitectura incluye una bandera RECON_ONLY que puede activarse desde el servidor para una explotación completa en ataques posteriores.
Las capacidades clave observadas en la campaña incluyen ejecución automática a través de ganchos del ciclo de vida de npm, técnicas antianálisis estilo obfuscator.io, entrega de carga útil específica de la plataforma (Windows, macOS, Linux), detección y omisión de entornos de integración continua y entrega continua (CI/CD), deduplicación basada en caché para evadir la monitorización de ejecución repetida, y un diseño de ataque en dos fases (reconocimiento ahora, explotación después).
(La historia se actualizó después de su publicación el 31 de mayo de 2026 para incluir detalles adicionales de la campaña compartidos por SafeDep y Microsoft.)
