El engaño en la cadena de suministro de npm: así jscrambler 8.14.0 desplegó un infostealer en segundos

El paquete npm jscrambler@8.14.0, publicado el 11 de julio de 2026, contenía un gancho malicioso de preinstalación que, con solo ejecutar npm install, desplegaba y ejecutaba un infostealer nativo multiplataforma sin necesidad de importarlo ni invocarlo desde la línea de comandos: bastaba con instalar esa versión para que el código malicioso se ejecutara en el entorno de la instalación.

El fallo fue detectado rápidamente por analistas externos, que encontraron dos ficheros nuevos en dist/: un loader JavaScript (setup.js) y un contenedor binario (intro.js) que empaquetaba tres ejecutables nativos (Windows, macOS y Linux). El loader elegía el binario según el SO, lo escribía con un nombre aleatorio en el directorio temporal, lo marcaba como ejecutable y lo lanzaba en segundo plano con salida oculta. Es especialmente relevante que esos ficheros aparecían en el paquete publicado en npm pero no en el repositorio público del proyecto ni en el historial de releases: la versión 8.14.0 se subió directamente al registro usando una cuenta de mantenedor legítima, sin tag ni commit coincidente en GitHub, lo que apunta a una cuenta o pipeline comprometido.

El payload, según los análisis públicos, es un infostealer escrito en Rust que rastrea máquinas de desarrollador y runners de CI en busca de credenciales y secretos: claves de nube (AWS, Azure, Google Cloud, incluida la metadata de instancias/CI), tokens y sesiones de servicios (Discord, Slack, Telegram, Steam), contraseñas y cookies de navegadores, bóvedas como Bitwarden, semilla de monederos y clientes de criptos (MetaMask, Phantom, Exodus) y configuraciones/API keys de herramientas de IA y entornos de desarrollo (por ejemplo, integraciones de Claude Desktop, Cursor, Windsurf, VS Code, Zed y servidores MCP). En Linux además se detectó la capacidad de cargar un programa eBPF en memoria, lo que eleva el riesgo a una posible ejecución en el kernel; las versiones de Windows y macOS incorporan comprobaciones anti‑depuración y mecanismos de persistencia (tarea oculta en el Programador de Tareas de Windows que se relanza cada minuto y un LaunchAgent en macOS).

La campaña también incluía comunicaciones de comando y control cifradas desde el binario, que en ejecución alcanzó al menos dos direcciones IP públicas observadas por telemetría y a la infraestructura de Tor, lo que complica el rastreo. Si tu entorno instaló jscrambler@8.14.0 entre la hora de publicación y su señalamiento por investigadores, el binario ya pudo haber extraído secretos en esos segundos o minutos críticos; el diseño del ataque aprovecha precisamente el hecho de que jscrambler se usa en tiempo de construcción y CI, por lo que las credenciales que esos procesos pueden acceder eran el objetivo principal, no el número de descargas.

Acciones inmediatas: si gestionas proyectos o infraestructuras que usan npm, busca en lockfiles, registros de gestores de paquetes y logs de CI cualquier referencia a jscrambler@8.14.0 o a la ejecución de dist/setup.js a partir del 11 de julio de 2026; el loader deja un ejecutable con nombre aleatorio en el directorio temporal, por lo que será necesario correlacionar marcas temporales de instalación con procesos hijos de Node.js y con ejecuciones en /tmp (Linux/macOS) o %TEMP% (Windows). En máquinas Windows inspecciona el Programador de Tareas para tareas ocultas y en macOS revisa ~/Library/LaunchAgents por plists no autorizados. Si confirmas ejecución, asume que todos los secretos accesibles fueron exfiltrados y procede inmediatamente a rotarlos: claves de nube (AWS, Azure, GCP), tokens de GitHub y npm, API keys de herramientas de IA y MCP, revocación de sesiones en Slack/Discord/otros, reseteo de credenciales en vaults y mover cualquier cripto fuera de monederos que residían en la máquina comprometida.

No basta con eliminar el archivo basura: limpia cachés y lockfiles que apunten a la versión comprometida, elimina jscrambler@8.14.0 de repositorios de artefactos y proxies de registro, y actualiza a una versión limpia (la rama publica ha mostrado 8.15.0 sin el hook y otra opción segura es fijar a 8.13.0). Comprueba además el cliente npm empleado en entornos: npm 12 introdujo que los scripts de instalación quedan desactivados por defecto salvo aprobación explícita, lo que mitiga este vector en clientes recientes; sin embargo, clientes antiguos siguen ejecutándolos automáticamente, por lo que los pipelines y máquinas locales con clientes antiguos siguen en riesgo.

Medidas estratégicas a medio plazo: forzar 2FA y políticas de publicación más estrictas en cuentas de mantenedor, limitar el alcance de tokens de CI y emplear credenciales efímeras para procesos de build y despliegue; usar firmas de paquetes y cadenas de suministro verificables (por ejemplo, con soluciones como Sigstore) y modelos de integridad de supply chain como SLSA para elevar la confianza en artefactos publicados. También conviene implantar repositorios de paquetes cacheados o privados que permitan control y revisión antes de que paquetes externos entren en builds críticos, y monitorizar automáticamente diffs entre el contenido publicado en el registro y lo que el repositorio de código fuente muestra como release/tags.

La historia de eventos encaja con otras campañas recientes que han explotado cuentas comprometidas o procesos de publicación para infiltrar código malicioso en paquetes populares; para protegerte, además de las rotaciones de credenciales y la contención de incidentes, planifica una respuesta a la cadena de suministro que incluya detección de anomalías en subidas a registries, revisión humana de cambios en dist/ antes de que la CI confíe en ellos, y políticas que eviten que npm install en entornos sensibles corra con privilegios innecesarios.

Fuentes útiles para comprender y mitigar riesgos en la cadena de suministro de paquetes se pueden encontrar en la documentación de GitHub sobre seguridad de la cadena de suministro y en proyectos de firma de artefactos como Sigstore; revisa también la página oficial del paquete en npm para confirmar la historia de versiones y el estado de publicación: Guía de GitHub sobre seguridad de la cadena de suministro, Sigstore (firma de artefactos), Página de jscrambler en npm.

Indicadores técnicos ya divulgados por quienes analizaron el incidente incluyen las direcciones IP observadas en la etapa de exfiltración (por ejemplo, 37.27.122.124 y 57.128.246.79), artefactos temporales con nombres aleatorios en los directorios temporales y persistencia mediante tareas programadas en Windows o LaunchAgents en macOS; usa esos indicadores como parte de la contención de red y respuesta forense. Si necesitas ayuda operativa para evaluar alcance, realizar rotaciones coordinadas de credenciales o limpiar pipelines de CI, considera escalar a un equipo de respuesta a incidentes con experiencia en compromisos de la cadena de suministro.