Ecosistema npm — Campaña de Malware y Secuestro de Tráfico de Agentes de IA a través de un Falso Acelerador Web3

Fecha de publicación: 19 de octubre de 2026
Categoría: Malware / Artificial Intelligence / Supply Chain Security

Introducción

Una sofisticada campaña de envenenamiento de la cadena de suministro de software ha sido identificada por investigadores de Elastic Security Labs. Los atacantes, rastreados bajo el identificador REF8801, desplegaron paquetes en el registro oficial de Node Package Manager (npm) haciéndose pasar por una entidad de capital de riesgo y aceleración Web3 denominada Apex Accelerator y la Apex Foundation. Bajo la falsa promesa de ofrecer créditos gratuitos de inteligencia artificial para herramientas como Anthropic Claude y Google Gemini, utilidades de desarrollo y auditorías de contratos inteligentes, los paquetes maliciosos entregaban backdoors y extractores de información (infostealers) para sistemas Windows y macOS, además de interceptar activamente las interacciones con agentes de IA y modelos de lenguaje de gran tamaño (LLM).

¿Qué es la Amenaza y el Componente Afectado? (Análisis General)

El riesgo principal recae sobre la confianza implícita que los desarrolladores y fundadores de tecnologías Web3 depositan en los repositorios de paquetes públicos como npm. Al ofrecer herramientas aparentemente legítimas pero fraudulentas, como @apexacc/cli (un supuesto asistente de IA para desarrolladores) y @apexacc/audit (un servidor del Protocolo de Contexto de Modelo o MCP con herramientas de seguridad), los atacantes lograron comprometer terminales de trabajo de desarrolladores de criptomonedas y herramientas de mercado.

Dado que esta campaña no explota una vulnerabilidad formal de código con un registro CVE asociado, no cuenta con un identificador oficial en el NVD. No obstante, desde una perspectiva analítica de seguridad ofensiva, el vector de ataque se clasifica conceptualmente como una alteración de la cadena de suministro por inyección de código malicioso en dependencias de software, estimándose con un vector CVSS v3.1 8.8 (Alto) CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H y una categorización primariamente asociada con la inyección de componentes no confiables y ejecución de código arbitrario (CWE-506: Embedded Malicious Code).

¿Cómo funciona? (Análisis Técnico)

La infraestructura maliciosa implementa diferentes mecanismos de despliegue según el sistema operativo detectado al interactuar con el punto final de control (vrf.apexaccs[.]org/api/v1/vrf).

  • Flujo de Infección en Windows:

    • El paquete npm recupera un comando de PowerShell codificado en Base64 que contacta a una URL externa para descargar un script de inicialización (drop.ps1).
    • Dicho script descarga un ejecutable empaquetado con PyInstaller (bludness.exe) y lo ejecuta en segundo plano.
    • El ejecutable comprueba privilegios administrativos; si no los posee, intenta evadir el Control de Cuentas de Usuario (UAC) utilizando el método ucmDebugObjectMethod() del framework UACME.
    • La segunda etapa del payload (exegis.exe) realiza comprobaciones anti-virtualización e inspección de procesos antes de desplegar un cargador codificado como %TEMP%\updater_loader.exe.
    • Un cargador en lenguaje Go parchea la interfaz de análisis de antimalware (AMSI) y el Rastreo de Eventos para Windows (ETW), desengancha la librería ntdll.dll para cegar a las soluciones EDR/antivirus, y aloja un shellcode directamente en memoria.
    • El shellcode corresponde a un infostealer nativo que extrae credenciales de navegadores (saltando incluso las protecciones ABE de Chrome), datos de carteras de criptomonedas, historiales de chat, información de redes Wi-Fi, portapapeles y capturas de pantalla, exfiltrando la información mediante Telegram.

  • Flujo de Infección en macOS:

    • El script descargado recupera un archivo comprimido GZIP desde infraestructura externa (verify.apexfdn[.]xyz/unix/).
    • Despliega un instalador que solicita credenciales administrativas mediante un falso aviso de autorización del sistema.
    • Utiliza dichos privilegios para instalar el backdoor conocido como CloudSyncD, el cual realiza descubrimiento de hosts, recopilación de telemetría del sistema y comunicación con servidores de comando y control (ccmihr[.]com) para la ejecución de tareas posteriores.

  • Secuestro de Tráfico de Agentes de IA:

    • Adicionalmente, los paquetes registran un servidor MCP controlado por los atacantes en la configuración del agente de la víctima. Esto permite interceptar historiales de conversación, fragmentos de código, solicitudes a modelos de lenguaje (LLM) a través de OpenRouter y respuestas de herramientas, comprometiendo la privacidad de los datos y permitiendo la inyección de instrucciones maliciosas en los agentes.

Sistemas / Entornos Afectados

  • Sistemas Operativos: Microsoft Windows (versiones de 64 bits) y Apple macOS.
  • Ecosistemas de Desarrollo: Proyectos que integraron dependencias de Node.js mediante el gestor npm bajo los espacios de nombres comprometidos.
  • Componentes Afectados Especificados:
    • @apexacc/cli (identificado como Apex Copilot CLI)
    • @apexacc/audit (identificado como Web3 Security Scanner / MCP Server)
    • Paquetes previos relacionados de la misma campaña: @apexfdn/apex, @copilot-mcp/apex, @apexfdn/copilot-mcp.

Mitigación y Detección

Remediación

  • Revocación Inmediata de Credenciales: Cualquier equipo de desarrollo que haya instalado los paquetes mencionados debe considerar sus claves privadas, credenciales de API (OpenRouter, GitHub, AWS, etc.) y llaves de billeteras criptográficas como totalmente comprometidas, debiendo ser revocadas y regeneradas de inmediato.
  • Auditoría de Dependencias: Utilizar herramientas de análisis de composición de software (SCA) y plataformas de escaneo de registros para verificar la integridad de las dependencias en proyectos activos.
  • Aislamiento de Terminales: Aislar de la red corporativa cualquier máquina donde se hayan ejecutado los binarios asociados a los dominios apexaccs[.]org y apexfdn[.]xyz.

Detección

  • Monitorear peticiones de red salientes hacia los dominios e infraestructura de control identificados (vrf.apexaccs[.]org, 0auth-chromium[.]com, ehegisnightmare[.]icu, verify.apexfdn[.]xyz).
  • Revisar configuraciones locales de agentes de IA y archivos de configuración del Protocolo de Contexto de Modelo (MCP) en busca de servidores no autorizados.

Nota de Inteligencia Defensiva: La suplantación de identidad de aceleradores tecnológicos y conferencias del sector representa una evolución en las tácticas de ingeniería social orientadas a desarrolladores, quienes suelen otorgar confianza implícita a herramientas de código orientadas a su productividad diaria.

Recapitulando

La campaña atribuida al grupo REF8801 demuestra cómo los atacantes continúan aprovechando repositorios públicos de código abierto para realizar ataques a la cadena de suministro dirigidos a verticales específicas de alta rentabilidad, como el ecosistema Web3. La combinación de malware multiplataforma (infostealers en Windows y el backdoor CloudSyncD en macOS) con capacidades avanzadas de interceptación de tráfico de agentes de IA expone un nuevo vector de riesgo donde no solo se ven comprometidas las credenciales tradicionales, sino también el flujo operativo y los datos confidenciales gestionados por asistentes de desarrollo inteligentes.

Referencias