Miasma Malware utiliza vinculante.gyp y Bun para ejecutar cargas útiles ocultas en paquetes npm

Se ha descubierto una campaña de malware conocida como Miasma escondida dentro de paquetes npm ampliamente utilizados, utilizando una combinación inteligente de herramientas y técnicas para permanecer oculta mientras roba credenciales confidenciales de desarrollador. El ataque involucra paquetes vinculados a los ecosistemas LeoPlatform y RStreams, que se utilizan en flujos de trabajo de integración de nube y canalización de datos.

Los investigadores de Socket.dev señalaron en un informe compartido con Cyber Security News (CSN) que esta campaña forma parte de un grupo de amenazas más amplio, conectado también con familias de malware relacionadas llamadas Mini Shai-Hulud y Hades.

Muchas herramientas de seguridad no vigilan la ejecución de Bun de la misma manera que monitorean Node.js, lo que ayuda a que el malware evada la detección. El malware también busca herramientas de seguridad populares como CrowdStrike y SentinelOne, e incluye una comprobación de configuración regional que detiene la ejecución en sistemas configurados en ruso.

GitHub Actions es un objetivo clave: el malware busca flujos de trabajo que publican paquetes o que contienen tokens de registro, extrae secretos del entorno del ejecutor (runner) y utiliza la propia API de GitHub para exfiltrar los datos robados.

Indicadores de compromiso (IoC)

Consultar publicación original ↗