La Amenaza Oculta de Paquetes npm que Imitan Polyfills para Rollup

Investigadores de seguridad han identificado una nueva oleada de paquetes maliciosos en el ecosistema npm que imitan herramientas legítimas de polyfilling para Rollup con la intención explícita de obtener acceso remoto y robar credenciales y datos sensibles desde estaciones de trabajo de desarrollo y máquinas de construcción. Según los análisis públicos, los artefactos maliciosos se presentaban con nombres y metadatos casi idénticos a proyectos conocidos, contenían un primer escalón que ocultaba comandos codificados en Base64 y descargaban un segundo escalón vestido como utilidades SVG que a su vez recuperaban y ejecutaban código JavaScript desde un repositorio JSON externo; esa estructura por etapas y las comprobaciones de entorno para evitar sandboxes recuerdan campañas previas atribuidas a actores norcoreanos.

La lección técnica central es que los atacantes ya no se limitan a versiones troceadas de malware: construyen cadenas de suministro con componentes aparentemente inocuos en el registro que esconden ganchos de instalación, controles de evasión y payloads que permiten tanto exfiltración de secretos (tokens npm, claves SSH, credenciales en .env, datos de navegador y wallets) como control remoto del host (ejecución interactiva, captura de pantalla, automatización del ratón y teclado). Estas capacidades son especialmente peligrosas cuando el paquete se incorpora en configuraciones locales de Rollup, entornos de CI o imágenes de construcción que ya tienen acceso a secretos y artefactos críticos del desarrollo.

Desde el punto de vista operativo, esto amplifica un riesgo recurrente: el código que instalamos en tiempo de desarrollo tiene la misma posibilidad de convertirse en vector de ataque que cualquier software de producción. Por eso resulta preocupante que los ataques combinen nombres y metadatos plausibles, carga útil en varias etapas y ejecución oculta durante la instalación para burlar inspecciones superficiales y los controles automatizados de los registros.

Si su equipo ha usado recientemente paquetes con nombres que incluyen "rollup", "polyfill", "runtime" o paquetes nuevos publicados por cuentas no verificadas, trate la situación como una posible intrusión. Las medidas iniciales deben incluir la eliminación inmediata de las dependencias identificadas, la búsqueda de cualquier ejecución de postinstall o artefactos descargados en las máquinas de desarrollo y build, la rotación de credenciales expuestas (tokens npm, claves SSH, credenciales cloud) y la revocación de accesos hasta que se valide la integridad del entorno.

En términos preventivos y de hardening, conviene adoptar varias defensas complementarias: configurar instalaciones de dependencias con --ignore-scripts cuando sea viable para bloquear hooks de instalación, utilizar entornos de build aislados y efímeros (containers o runners con mínimo privilegio), activar escaneo de dependencias en CI/CD mediante herramientas como Dependabot o SCA comerciales, y validar que los artefactos provengan de autores y scopes confiables. También es recomendable auditar y fijar dependencias (lockfiles), revisar cambios en transitive dependencies antes de aceptar merges y limitar el uso de tokens de larga duración en CI.

Para investigaciones y detección, busque indicadores como llamadas a JSONKeeper u otros servicios de almacenamiento de snippets, conexiones de salida a IPs o dominios sospechosos desde entornos de desarrollo, procesos que invoquen @nut-tree-fork/nut-js en hosts Windows y actividad inusual leyendo ficheros de configuración de editores o herramientas de IA. Si detecta compromiso, capture logs y muestras antes de reiniciar, y considere reconstruir imágenes de los sistemas afectados desde fuentes limpias si hay evidencia de persistencia.

Las herramientas y recursos públicos ayudan a automatizar parte del trabajo: los equipos deberían integrar escáneres de dependencias y listas de bloqueo en el pipeline, y usar proyectos de auditoría como el de OWASP para dependencia y composición de software. Más información sobre riesgos y buenas prácticas está disponible en las publicaciones y guías de la industria, por ejemplo en el blog de investigación de JFrog y en recursos sobre gestión de dependencias y seguridad de repositorios. Puede empezar a revisar orientación práctica en https://jfrog.com/blog/ y estudiar herramientas de análisis de composición en https://owasp.org/www-project-dependency-check/.

Finalmente, no pierda de vista que este tipo de campañas forman parte de una tendencia más amplia de envenenamiento de la cadena de suministro: la prevención efectiva requiere políticas organizativas (principio de menor privilegio, rotación periódica de secretos, 2FA y tokenización) además de controles técnicos. Active el escaneo de dependencias en CI, trate como críticos los paquetes nuevos de ámbitos no verificados y mantenga procedimientos de respuesta que consideren la posibilidad real de exfiltración y control remoto de entornos de desarrollo y build.