Contagious Interview el truco de SVG con Base64 que roba credenciales y expone la cadena de suministro

Un nuevo capítulo de la larga campaña atribuida a actores norcoreanos —identificada por Elastic Security Labs como parte del operativo conocido como Contagious Interview y categorizada adicionalmente como REF9403— revela una combinación inquietante de ingeniería social dirigida a desarrolladores y técnicas evasivas de malware: steganografía incrustada en archivos SVG que camufla fragmentos de payload en comentarios Base64, ensamblados por código JavaScript legítimo en repositorios trojanizados que se ofrecen como pruebas técnicas de empleo.

El truco aprovecha la confianza de la comunidad técnica: ofertas de trabajo y retos de codificación publicados en canales como Slack inducen a los interesados a clonar y ejecutar proyectos que parecen funcionar correctamente en primera instancia. Detrás de ese funcionamiento aparente se oculta una cadena de cuatro etapas similar al malware conocido como OtterCookie: robo de credenciales de navegador y carteras de criptomonedas, exfiltración de ficheros, un backdoor persistente basado en Socket.IO y robo del portapapeles. Además, el código busca extensiones y artefactos relacionados con herramientas de IA, lo que sugiere un claro interés por datos sensibles y claves que facilitan acceso a entornos y recursos valiosos.

Desde el punto de vista técnico, el uso de SVG con comentarios que contienen fragmentos Base64 distribuidos entre múltiples imágenes es un intento deliberado de evadir scanners y firma estática: los archivos de assets parecen inocuos (por ejemplo AE.svg, AF.svg), pero contienen bloques comentados que el script de validación del repositorio concatena y decodifica en tiempo de ejecución. El payload se programa para ejecutarse incluso en el arranque del servidor, lo que transforma una simple prueba técnica en una puerta de entrada persistente con capacidades de mando y control.

Las implicaciones son claras y amplias: un único desarrollador comprometido puede convertirse en vector de un ataque a la cadena de suministro, insertando código malicioso en proyectos compartidos, dependencias o pipelines de CI/CD. Además, la combinación de robo de carteras y credenciales amplifica el daño económico inmediato y facilita campañas de exfiltración que son difíciles de remontar si las claves son reutilizadas o no se rotan con prontitud.

En términos de detección y atribución, la técnica complica la visibilidad porque las señales se diseminan entre recursos estáticos (imágenes), artefactos aparentemente legítimos y código funcional. Esto refuerza la necesidad de complementar firmas con análisis de comportamiento, monitorización de integridad de ficheros y control estricto de ejecuciones en entornos productivos. Para contexto y taxonomía de técnicas, es útil consultar repositorios de referencia como MITRE ATT&CK (https://attack.mitre.org/) y los análisis sectoriales publicados por grupos de respuesta como Elastic Security Labs (https://www.elastic.co/), que describen cómo estas campañas evolucionan.

Para equipos y desarrolladores individuales, las medidas prácticas comienzan por el principio básico de no ejecutar código externo con privilegios innecesarios: aislar pruebas en entornos efímeros y sin acceso a secretos, desactivar ejecuciones automáticas al clonar repositorios y revisar activos estáticos en busca de comentarios sospechosos o bloques Base64.

Complementar la higiene individual con políticas organizacionales reduce el riesgo: obligar a la revisión de pull requests, escanear repositorios por secretos y artefactos inusuales antes de integrarlos en pipelines, bloquear conexiones salientes no autorizadas desde runners de CI y aplicar controles de integridad en servidores que arrancan servicios nuevos. Asimismo, adoptar el principio de menor privilegio en extensiones del navegador y carteras, y segregar claves de acceso y billeteras (por ejemplo usando hardware wallets o cuentas con límites), limita el impacto en caso de fuga de información.

Las soluciones de detección deben incluir telemetría de red orientada a identificar conexiones Socket.IO no habituales, reglas EDR que detecten la decodificación y ejecución de blobs ensamblados en memoria, y alertas sobre procesos que intentan leer el portapapeles o acceder a almacenes de claves del navegador. La rotación inmediata de credenciales expuestas y la revocación de tokens comprometidos son acciones imprescindibles tras un incidente.

Finalmente, este incidente pone de manifiesto que la seguridad del software no es solo una cuestión de dependencias públicas o paquetes npm maliciosos: el vector humano sigue siendo el eslabón más frágil. Capacitar a las comunidades técnicas para identificar lures de empleo falsos, fomentar el escepticismo en la ejecución de código recibido por canales sociales y promover prácticas de validación de artefactos serán medidas tan necesarias como las herramientas automáticas para mitigar el riesgo de campañas sofisticadas como Contagious Interview.