Ecosistema npm / PhantomRaven — Campaña de InfoStealer Generada por IA y Ataques a la Cadena de Suministro (N/A)

Fecha de publicación: 18 de septiembre de 2026
Categoría: Malware / Ciberdelincuencia

Introducción

Una reciente investigación publicada por CrowdStrike ha vinculado a un actor de amenazas con motivaciones financieras al desarrollo y distribución de un infostealer basado en JavaScript llamado PhantomRaven, alojado en el registro oficial de paquetes npm. Según los hallazgos, el desarrollador utilizó probablemente un modelo de lenguaje grande (LLM) para redactar el código malicioso, evidenciado por la presencia de comentarios detallados, código de marcador de posición y patrones estadísticos de tokens. A diferencia de las bandas de ransomware tradicionales o grupos de extorsión, este operador se hace pasar por un investigador de recompensas de errores (bug bounty hunter), utilizando las credenciales corporativas robadas para justificar reportes de vulnerabilidades fraudulentos ante múltiples entidades tecnológicas.

¿Qué es PhantomRaven? (Análisis General)

PhantomRaven es un infostealer especializado en entornos de desarrollo de software, diseñado para sustraer tokens de autenticación, secretos de integración y despliegue continuo (CI/CD), y credenciales de repositorios de código desde las máquinas de los desarrolladores.

La naturaleza de esta amenaza destaca por la integración de técnicas de typosquatting y slopsquatting —creación de nombres de paquetes que imitan librerías legítimas populares— para engañar a los desarrolladores durante la instalación de dependencias. Para eludir los análisis estáticos automatizados de seguridad, los paquetes maliciosos implementan la recuperación de dependencias dinámicas remotas (RDD, por sus siglas en inglés), descargando el núcleo del stealer desde un servidor externo controlado por el atacante solo tras una instalación exitosa.

Debido a que este caso corresponde a una campaña de malware en la cadena de suministro de npm sin un CVE formal asignado por el NVD, se establece la siguiente clasificación estimada basada en la naturaleza del fallo:

  • Vector CVSS Estimado: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/H:L (Puntuación estimada: 8.6 - Alta / Crítica)
  • Clasificación CWE Estimada: CWE-506 (Embedded Malicious Code) / CWE-829 (Inclusion of Functionality from Untrusted Control Sphere)

Nota sobre estimación: Los valores anteriores son estimaciones razonadas basadas en el comportamiento de ejecución remota de código y robo masivo de secretos mediante dependencias no confiables, ya que no existe un registro oficial en el NVD al momento de este análisis.

¿Cómo funciona? (Análisis Técnico)

El funcionamiento operativo de PhantomRaven se compone de múltiples fases orientadas a la infiltración silenciosa y la extracción selectiva de inteligencia:

  • Flujo inicial de infección y typosquatting: El atacante publica librerías señuelo en el registro npm (como jpdhellonpm1/transform-jsbi-to-bigint y jpd15/sort-imports-es6-autofix). Cuando un desarrollador instala el paquete, un script de preinstalación (preinstall script) se ejecuta automáticamente en el sistema local.
  • Carga mediante Dependencia Dinámica Remota (RDD): Para evitar ser detectado por herramientas de análisis estático que escanean el código fuente subido a npm, el paquete inicial contiene sólo un cargador mínimo que descarga la carga útil principal desde un servidor remoto al ejecutarse.
  • Reconocimiento del entorno y recolección de secretos: Una vez activo en la máquina de la víctima, el stealer escanea el entorno de desarrollo buscando:
    • Direcciones de correo electrónico y huellas digitales del sistema (incluyendo la dirección IP pública).
    • Variables de entorno de sistemas CI/CD como GitHub Actions, GitLab CI, Jenkins y CircleCI.
    • Configuraciones locales de Git y npm (nombre de usuario, correos electrónicos).
    • Tokens de acceso y credenciales almacenadas en archivos de configuración.
  • Exfiltración de datos: La información recopilada es empaquetada y transmitida a servidores controlados por el atacante. Curiosamente, los datos robados no aparecen en los mercados tradicionales de infostealers, lo que refuerza la hipótesis de que el operador los utiliza exclusivamente para identificar vectores de ataque y reclamar recompensas de manera fraudulenta.

Sistemas / Entornos Afectados

La amenaza impacta directamente a desarrolladores individuales, organizaciones y repositorios de código abierto que utilicen el gestor de paquetes npm (Node.js). Entre los entornos y plataformas vulnerables a la recolección de secretos se encuentran:

  • Máquinas de desarrollo basadas en entornos operativos donde se ejecutan tareas de Node.js.
  • Sistemas de integración y despliegue continuo (CI/CD): GitHub Actions, GitLab CI, Jenkins y CircleCI.
  • Sectores industriales afectados de forma indirecta por los reportes fraudulentos: tecnología, comercio minorista (retail) y hostelería.

Mitigación y Detección

Remediación

  • Auditoría de dependencias: Utilizar herramientas de análisis de composición de software (SCA) y comandos como npm audit para revisar la integridad de los paquetes instalados en los proyectos.
  • Restricción de scripts automáticos: Deshabilitar la ejecución automática de scripts de instalación en npm mediante configuraciones globales (npm config set ignore-scripts true), evaluando manualmente las dependencias que requieran scripts de post/pre-instalación.
  • Rotación inmediata de credenciales: Si se sospecha la instalación de paquetes asociados con el actor (ej. jpdhellonpm1, jpd15), revocar y rotar de inmediato tokens de GitHub, claves de CI/CD y credenciales de despliegue expuestas.

Detección

Los equipos defensivos y analistas de SOC deben monitorear los registros de auditoría en busca de patrones sospechosos de instalación de paquetes y anomalías en las variables de entorno de los servidores de compilación.

yaml 
title: Detección de Ejecución de Scripts npm Sospechosos (PhantomRaven)
id: 9b8a7c6d-5e4f-3a2b-1c0d-9e8f7a6b5c4d
status: experimental
description: Detecta la ejecución de scripts preinstalación asociados con la descarga dinámica de dependencias remotas (RDD).
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\node.exe'
    CommandLine|contains:
      - 'preinstall'
      - 'transform-jsbi-to-bigint'
      - 'sort-imports-es6-autofix'
  condition: selection
falsepositives:
  - Falsos positivos mínimos; requiere validación de paquetes legítimos con nombres similares.
level: high

Implicación crítica: El uso de herramientas de inteligencia artificial generativa por parte de ciberdelincuentes para redactar malware funcional y estructurado reduce drásticamente la barrera de entrada, permitiendo campañas de suministro altamente persuasivas y difíciles de identificar mediante revisiones superficiales.

Recapitulando

La campaña PhantomRaven pone de manifiesto la evolución en el uso de la cadena de suministro de software como vector de inteligencia y reconocimiento para ataques posteriores. El uso de LLMs para estructurar código limpio, sumado al subterfugio de reclamar recompensas de errores (bug bounty) en lugar de la monetización ilícita tradicional, demuestra una táctica operativa sofisticada. Para la comunidad de desarrollo y los equipos de seguridad, la lección es clara: la validación estricta de dependencias y el control sobre la ejecución de scripts en npm son indispensables para mitigar amenazas impulsadas por IA.

Referencias