El gusano ChainDrop ataca npm: más de 1.300 paquetes infectados, incluidos Keyv y Cacheable
El gusano informático ChainDrop ha infectado más de 1.300 paquetes del mayor repositorio de JavaScript, npm, que se utiliza para gestionar dependencias en proyectos de Node.js. Entre los afectados figuran bibliotecas populares como Keyv, una solución de almacenamiento en caché, y Cacheable, un paquete para trabajar con caché.
Expertos en ciberseguridad informaron de que el ataque comenzó sin llamar la atención y pronto se extendió a cientos de paquetes que utilizan habitualmente desarrolladores de todo el mundo. El gusano se introdujo mediante cuentas de desarrolladores comprometidas o una actualización maliciosa de paquetes ya existentes.
El principal objetivo de ChainDrop es infectar los equipos de los usuarios. El gusano funciona instalando malware de forma inadvertida en el dispositivo cuando se descarga o actualiza un paquete. Más adelante, el programa puede robar información, instalar componentes maliciosos adicionales o incluso tomar el control total del dispositivo.
Los expertos subrayan especialmente que Keyv y Cacheable forman parte de decenas de miles de paquetes como dependencias. Esto significa que la oleada de infecciones puede extenderse aún más y tener consecuencias devastadoras para toda la comunidad de desarrollo de software.
La plataforma npm ya ha empezado a retirar los paquetes maliciosos y a avisar a los usuarios. Los especialistas recomiendan encarecidamente no actualizar las bibliotecas Keyv y Cacheable hasta que haya versiones seguras, utilizar fuentes fiables y prestar especial atención a las actualizaciones inesperadas de las dependencias de los proyectos.
No es el primer ataque contra npm: ya se han producido incidentes similares, pero una campaña de esta magnitud merece especial atención. Los proyectos actuales de Node.js pueden correr riesgos graves por la cadena de dependencias y la falta de transparencia en las actualizaciones.
PEREC.RU
El guion del ataque les sonará a todos los que hayan trasteado alguna vez con npm: el software sigue a lo suyo, se cuela un gusano y, voilà, medio mundo queda en peligro. Una historia clásica: nadie se da cuenta de nada y luego toca salvar el planeta a base de teclado y café. Cuando el ataque alcanza a pesos pesados como Keyv y Cacheable, queda claro que ha llegado muy lejos.
npm reacciona como siempre: tarde, con prisas y con dramatismo. Ahora los usuarios tienen que esperar a las «versiones seguras» y decidir entre actualizar o dejarlo todo como está, porque hasta una actualización corriente se ha convertido de repente en una ruleta.
El mundo del software de código abierto vuelve a recordarnos el precio de la confianza: basta con que aparezca una brecha para que toda una cadena de proyectos caiga como fichas de dominó. No es solo una historia sobre código malicioso; refleja la actitud de la informática actual ante la seguridad: todos confían en que «esta vez no nos tocará». Y cuando sí toca, nos lamentamos en voz alta, asentimos ante otro «caso excepcional» y buscamos frenéticamente sustitutos para las dependencias clave. Aunque mañana volverá a pasar y nadie se sorprenderá.
