Corea del Norte niega implicación en ataques a npm tras alerta de 11 países

Un par de campañas recientemente reveladas ilustran cómo los grupos de piratas informáticos de Corea del Norte están intensificando sus ataques contra el ecosistema de software de código abierto, comprometiendo paquetes de JavaScript ampliamente utilizados y aprovechando la tecnología blockchain para ocultar la infraestructura de malware.

Amazon vincula cuatro ataques a npm con Sapphire Sleet

El equipo de Inteligencia de Amenazas de Amazon Amazon.com, Inc. ↗ 0.82% publicó un informe el 28 de julio que vincula cuatro compromisos de la cadena de suministro de npm (que involucran a los paquetes Axios, debug, chalk y typo-crypto) con Sapphire Sleet, un actor de amenazas asociado con Corea del Norte. La campaña se extendió desde marzo de 2025 hasta marzo de 2026, y Amazon evaluó la atribución con una confianza media basada en indicadores de comando y control compartidos, reutilización de código y ganchos de postinstalación.esecurityplanet+2

En lugar de explotar vulnerabilidades técnicas en la infraestructura de npm, los atacantes se dirigieron a los desarrolladores autorizados para mantener paquetes populares, utilizando la ingeniería social para robar credenciales y enviar actualizaciones maliciosas a través de cuentas legítimas. Solo Axios recibe más de 100 millones de descargas semanales, lo que ilustra la escala potencial de la exposición.linkedin+2

Transacciones de Ethereum enmascaran servidores de malware

Por otra parte, investigadores de OpenSource Malware identificaron una técnica que denominaron "NullReceiver", encontrada en dos paquetes npm maliciosos (bianira-ui y fluid-type-ui) que se hacían pasar por complementos de Tailwind CSS. La técnica codifica la dirección IP de un servidor de comando y control dentro del campo del destinatario de una transacción vacía de Ethereum, lo que hace que la actividad parezca indistinguible de las transferencias normales de billetera.cybersecuritynews+2

Las transacciones de valor cero no contienen llamadas a contratos inteligentes ni datos de carga útil, lo que permite al malware recuperar instrucciones de una cadena de bloques pública que los defensores no pueden retirar fácilmente. OpenSource Malware conectó la campaña con la operación Contagious Interview, vinculada a la RPDC, que ha atacado repetidamente a desarrolladores a través de atractivos señuelos de software.cybersecuritynews

Respuesta internacional y desmentido de Pionyang

Los hallazgos se producen días después de que Estados Unidos, Corea del Sur, Japón y otros ocho países emitieran una alerta conjunta el 1 de agosto advirtiendo que los trabajadores de TI de Corea del Norte utilizan identidades falsas y herramientas de IA para asegurar empleos remotos y canalizar ingresos hacia los programas de armas de Pionyang. El FBI dijo que ocho personas han sido condenadas a prisión en 2026 por su participación en tales esquemas.upi+2

Corea del Norte respondió el martes a través de la agencia estatal de noticias KCNA, calificando las advertencias de "motivadas políticamente" y acusando a Estados Unidos de "militarizar el ciberespacio". Un portavoz del ministerio de relaciones exteriores desestimó la alerta conjunta como un intento de "empañar su imagen y justificar la presión sobre estados soberanos".reuters