Underc0de - La Casa de los Informáticos

La cadena de suministro de software vuelve a estar en el punto de mira de la ciberseguridad global. Investigadores han detectado una sofisticada campaña maliciosa que utiliza paquetes "durmientes" para infiltrarse en entornos de desarrollo, comprometer sistemas y robar información crítica sin levantar sospechas iniciales.

Ataque a la cadena de suministro: paquetes maliciosos en Ruby y Go ponen en riesgo a desarrolladores

Una nueva campaña de ciberataques ha sido atribuida a la cuenta maliciosa de GitHub identificada como "BufferZoneCorp". Este actor ha publicado múltiples repositorios que contenían gemas Ruby y módulos en Go diseñados para comprometer sistemas durante su instalación y ejecución.

Según el análisis del investigador Kirill Boychenko, esta operación forma parte de un ataque coordinado a la cadena de suministro de software dirigido específicamente a desarrolladores, entornos de integración continua (CI) y sistemas de construcción automatizados.

Aunque los paquetes ya han sido eliminados de plataformas como RubyGems y bloqueados en Go, el riesgo persiste para quienes los descargaron previamente.

Paquetes durmientes: una técnica avanzada de evasión

Uno de los aspectos más preocupantes de esta campaña es el uso de paquetes "durmientes". Este enfoque consiste en publicar bibliotecas aparentemente legítimas que permanecen inactivas durante un tiempo, ganando confianza y evitando la detección inicial. Posteriormente, se actualizan con cargas maliciosas que se activan en entornos reales.

Entre las gemas Ruby identificadas se encuentran:

• nudo-activosupport-logger
• nodo-devesa-jwt-ayudante
• nodo-rails-assets-pipeline
• knot-rspec-formatter-json
• knot-date-utils-rb (durmiente)
• nudo-simple-formador (durmiente)

En el ecosistema Go, los módulos maliciosos incluían repositorios como:

• go-metrics-sdk
• go-weather-sdk
• go-retryablehttp
• grpc-client
• config-loader
• log-core (durmiente)
• go-envconfig (durmiente)

Estos paquetes imitaban bibliotecas populares como activesupport-logger, devise-jwt o grpc-client, con el objetivo de engañar a los desarrolladores y facilitar su adopción.

Robo de credenciales y exfiltración de datos sensibles

Las gemas Ruby maliciosas estaban diseñadas para ejecutar código durante el proceso de instalación, lo que les permitía recolectar información sensible directamente del entorno del desarrollador. Entre los datos comprometidos se incluyen:

• Variables de entorno
• Claves SSH
• Credenciales de AWS
• Archivos .npmrc y .netrc
• Configuración de la CLI de GitHub
• Credenciales de RubyGems

Una vez recopilados, estos datos eran exfiltrados a servidores controlados por los atacantes mediante endpoints remotos tipo webhook, facilitando el acceso no autorizado a infraestructuras críticas.

Manipulación de GitHub Actions y persistencia mediante SSH

Por su parte, los módulos en Go presentaban capacidades más avanzadas, orientadas a comprometer flujos de trabajo automatizados. Estas bibliotecas maliciosas podían:

• Interceptar ejecuciones en pipelines de CI/CD
• Manipular variables de entorno como GITHUB_ENV y GITHUB_PATH
• Configurar proxies HTTP/HTTPS para redirigir tráfico
• Insertar ejecutables falsos que suplantan comandos legítimos

Uno de los mecanismos más sofisticados consistía en la creación de un binario falso de Go que se colocaba en la ruta de ejecución antes que el original. Este "wrapper" permitía interceptar comandos sin interrumpir el flujo de trabajo, lo que dificultaba su detección.

Además, los módulos añadían una clave pública SSH codificada en el archivo ~/.ssh/authorized_keys, otorgando a los atacantes acceso persistente a los sistemas comprometidos.

Impacto en la seguridad de la cadena de suministro

Este tipo de ataques representa una amenaza crítica para la seguridad del desarrollo de software. Al comprometer dependencias externas, los atacantes pueden infiltrarse en múltiples proyectos simultáneamente, afectando a organizaciones enteras sin necesidad de vulnerar directamente sus sistemas.

El uso de plataformas como GitHub Actions amplifica el impacto, ya que permite ejecutar código malicioso en entornos automatizados con acceso a credenciales sensibles y recursos internos.

Recomendaciones de seguridad para mitigar el riesgo

Ante este escenario, los expertos recomiendan adoptar medidas inmediatas para proteger los entornos de desarrollo:

• Eliminar paquetes comprometidos: Desinstalar cualquier dependencia sospechosa relacionada con BufferZoneCorp.
• Rotar credenciales: Cambiar claves SSH, tokens de acceso y credenciales expuestas.
• Auditar archivos críticos: Revisar modificaciones en ~/.ssh/authorized_keys y otros archivos sensibles.
• Monitorear tráfico de red: Identificar conexiones HTTPS salientes hacia endpoints desconocidos.
• Verificar integridad de dependencias: Utilizar herramientas de análisis de seguridad para detectar paquetes maliciosos.

Además, es fundamental implementar políticas de seguridad en la cadena de suministro, como el uso de repositorios privados, validación de firmas digitales y revisión manual de dependencias críticas.

Tendencia creciente en ciberataques a desarrolladores

Los ataques a la cadena de suministro han aumentado significativamente en los últimos años, convirtiéndose en una de las principales preocupaciones en ciberseguridad. Los ciberdelincuentes buscan explotar la confianza en bibliotecas de terceros para infiltrarse en sistemas de alto valor.

Casos como este demuestran que incluso los entornos de desarrollo, tradicionalmente considerados seguros, pueden ser vectores de ataque si no se implementan controles adecuados.

En fin...

La campaña atribuida a BufferZoneCorp evidencia un nivel elevado de sofisticación en ataques dirigidos a desarrolladores y entornos CI/CD. El uso de paquetes durmientes, técnicas de evasión y mecanismos de persistencia avanzada pone de manifiesto la necesidad urgente de reforzar la seguridad en la cadena de suministro de software.

Las organizaciones deben adoptar un enfoque proactivo, combinando herramientas de análisis, buenas prácticas de desarrollo seguro y concienciación del personal técnico para mitigar riesgos y proteger sus activos digitales.

Fuente: https://thehackernews.com/