Ecosistema npm — 101 paquetes maliciosos incorporan cuentas de desarrolladores de WhatsApp a grupos sin consentimiento

Fecha de publicación: 29 de septiembre de 2026
Categoría: Supply Chain / Malware

Introducción

Investigadores de seguridad han identificado un clúster de 101 paquetes maliciosos publicados en el registro oficial de Node Package Manager (npm) diseñados para atrapar a desarrolladores de software en una campaña de suscripción masiva a grupos y canales de WhatsApp denominada PhantomSub. Estos componentes de software malicioso, que en conjunto superan las 490,000 descargas históricas y acumulan unas 116,000 descargas recientes en un periodo de treinta días, abusan de las integraciones de automatización para secuestrar las sesiones de mensajería de las víctimas. El hallazgo subraya una vez más la vulnerabilidad crítica de las cadenas de suministro de software de código abierto (Open Source Software - OSS), donde la suplantación de dependencias legítimas permite a los actores de amenazas comprometer la infraestructura local y las cuentas personales de los ingenieros de software.

¿Qué es PhantomSub? (Análisis General)

PhantomSub representa una sofisticada campaña de envenenamiento de la cadena de suministro de software orientada a la manipulación de métricas de redes sociales y a la amplificación de plataformas de marketing clandestinas. El vector de ataque principal consiste en la publicación de paquetes maliciosos en npm que imitan o bifurcan (fork) proyectos legítimos relacionados con Baileys, una biblioteca multiplataforma ampliamente utilizada en JavaScript para interactuar con la API web de WhatsApp.

Cuando un desarrollador instala estas dependencias contaminadas en sus entornos locales de pruebas o desarrollo, el código ejecuta rutinas ocultas que explotan la sesión autenticada de WhatsApp del usuario para forzar su adhesión a canales de difusión y grupos de chat controlados por el atacante. Desde la perspectiva de clasificación de amenazas, este comportamiento se alinea con la categoría de Software Supply Chain Compromise combinada con técnicas de Clickjacking/Social Proof Manipulation.

  • Puntuación CVSS estimada: 6.5 (Media) — Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N (Estimación razonada ante ausencia de identificador CVE formal asignado al momento del reporte).
  • Clasificación CWE estimada: CWE-506 (Embedded Malicious Code) y CWE-494 (Download of Code Without Integrity Check).

¿Cómo funciona? (Análisis Técnico)

El análisis realizado sobre el clúster malicioso permitió desglosar la operación en tres variantes arquitectónicas distintas que determinan cómo se recuperan y ejecutan las rutinas de suscripción automática:

  • Flujo inicial de infección y entrada: El desarrollador incorpora el paquete malicioso (por ejemplo, variantes bajo nombres como ourin-baileys, @nexustechpro/baileys, o levvleys) en su archivo package.json creyendo que se trata de una herramienta de utilidad o un cliente legítimo de Baileys. Al ejecutar la aplicación o inicializar el script de prueba, se despliega la lógica de inicialización del bot de WhatsApp.
  • Mecanismos de persistencia y ejecución de código: Aprovechando que la biblioteca Baileys requiere almacenar credenciales de sesión activas (tokens de autenticación vinculados mediante códigos QR), el malware secuestra el contexto de ejecución. En lugar de operar meramente como una interfaz de desarrollo, el código inyecta peticiones internas hacia la API de WhatsApp para simular acciones de usuario.
  • Comunicación con infraestructura externa (C2) y variantes:
    • Variante 1 (19 paquetes): Recupera los identificadores de canales y grupos maliciosos directamente desde repositorios públicos en GitHub en tiempo real durante la ejecución del script.
    • Variante 2 (60 paquetes): Incorpora los identificadores de los canales directamente en el código fuente en texto plano (cleartext), facilitando una ejecución rápida sin dependencias de red externas iniciales.
    • Variante 3 (14 paquetes): Oculta los identificadores de canal mediante técnicas de ofuscación y codificación dentro del código fuente para evadir análisis estáticos automatizados basados en firmas de texto plano.

“Many packages in this campaign are not independent. The same channel IDs, the same remote channel lists, and the same GitHub accounts appear across packages with different names and publishers. A shared channel means a shared beneficiary: whoever owns the channel collects followers from every package that targets it…”

Sistemas / Entornos Afectados

El impacto de esta campaña se concentra en los siguientes perfiles y componentes tecnológicos:

  • Ecosistema afectado: Desarrolladores de JavaScript/TypeScript que utilicen el gestor de paquetes npm y dependencias de automatización de WhatsApp.
  • Librerías base comprometidas: Bifurcaciones (forks) y modificaciones del framework Baileys, incluyendo nomenclatura fraudulenta o nombres engañosos detectados en más de un centenar de variantes.
  • Plataformas de destino de spam: Canales de mensajería y grupos orientados principal pero no exclusivamente a regiones de Indonesia, utilizados para la comercialización de recursos de juegos móviles (como Mobile Legends: Bang Bang), scripts de bots y servicios de aumento artificial de métricas en redes sociales.

Mitigación y Detección

Remediación

  • Revisión de dependencias: Auditar los archivos package.json y package-lock.json en los proyectos de desarrollo para identificar y purgar paquetes no verificados relacionados con baileys, especialmente aquellos provenientes de editores desconocidos o forks dudosos.
  • Verificación de cuentas de WhatsApp: Comprobar de inmediato en la aplicación móvil de WhatsApp si la cuenta personal o de pruebas del desarrollador ha sido añadida de forma inconsulta a grupos desconocidos; proceder a abandonarlos y bloquear los números asociados.
  • Aislamiento de credenciales: Evitar conectar cuentas personales principales de WhatsApp a entornos de desarrollo locales que utilicen bibliotecas de automatización de terceros no auditadas.

Detección

  • Monitoreo de red y endpoints: Implementar reglas de análisis estático en los pipelines de CI/CD para detectar llamadas a repositorios externos no autorizados de GitHub durante la instalación de dependencias npm (npm install).
  • Regla de búsqueda de Indicadores de Compromiso (IoCs): Monitorear la presencia de los paquetes identificados en las auditorías de seguridad internas mediante escáneres de dependencias.
json 
{
  "rule_name": "Detect_Malicious_Baileys_Supply_Chain",
  "description": "Busca nombres de paquetes asociados a la campaña PhantomSub en dependencias npm",
  "pattern": "(ourin-baileys|@nexustechpro/baileys|@badzz88/baileys|@ostyado/baileys|levvleys|@vanzxy/baileys|@yudzxml/baileys|@chatunity/baileys|@kelvdra/baileys|neuralwhatsapp|lilys-baileys|@fyxzpediaa/baileys|noxleyss|@xrelly-stack/bails|alipclutch-baileys|kurobails|eliteprotech-baileys|@xayz/baileys|chromestaff-baileys|@sanzoffc/baileys|@sairidev/baileys-new|cloud-baileys|@nyzzpediaa/baileys-new|ishumdz-bail|nishiki-bail|diezyclutch-baileys|oktz-baileys|my-auto-follow)"
}

Recapitulando

La campaña PhantomSub pone de manifiesto los riesgos persistentes en la cadena de suministro de software de código abierto, donde bibliotecas populares de automatización son suplantadas para realizar acciones maliciosas automatizadas en segundo plano. A través de la explotación de la confianza de los desarrolladores y el abuso de sesiones autenticadas de mensajería, los atacantes logran inflar artificialmente métricas de canales con fines comerciales y de spam. La adopción de estrictas políticas de gestión de dependencias y la auditoría constante de los entornos de desarrollo son defensas indispensables para mitigar este tipo de vectores de ataque en la cadena de suministro moderna.

Referencias