Compendio de códigos maliciosos de Xygeni 82

Cada semana, nuestros sistemas de detección de malware analizan miles de paquetes nuevos y actualizados en registros públicos como npm, PyPI y OpenVSX. Confirmamos 206 paquetes maliciosos entre el 31 de julio y el 7 de agosto de 2026, encabezados por una oleada de malware con una marca que imitaba herramientas de ataque de IA conocidas, y un grupo de dependencias confusas que suplantaba bibliotecas de monederos de criptomonedas.

El hallazgo más llamativo: wormgpt-cli en npm, nueve versiones publicadas en rápida sucesión el 7 de agosto, junto con un paquete complementario, gpt-terminal-cli, publicado el mismo día. El nombre es una referencia directa a WormGPT, una herramienta real de piratería informática oscura comercializada a ciberdelincuentes para el phishing y la generación de malware, lo que sugiere que el paquete se aprovecha del reconocimiento de marca de una herramienta de ataque real en lugar de esconderse tras un nombre neutral.

Un grupo separado se dirigió directamente a la infraestructura de criptomonedas: nueve paquetes en npm que suplantaban bibliotecas reales de billeteras y firmas (ledger-lib, trezor-lib, bip32-js, ethers-lib, python-bitcoinlib, ckcc-protocol, hwi-lib, mnemonic-utils, ethereum-sign-utils), todo confirmado dentro del mismo período el 5 de agosto, una jugada de confusión de dependencias de manual dirigida a los desarrolladores de criptomonedas y Web3 que atraen lo que parecen ser standard utilidades de firma.

El markscan, akrai, y iphouse El grupo de variantes similares que señalamos la semana pasada siguió creciendo, con varias versiones más confirmadas entre el 31 de julio y el 1 de agosto. Ese mismo período también produjo un hallazgo más serio: beaver-ui-* y accounts-* El grupo confirmado el 1 de agosto resultó ser Relleno de poliéster silencioso, un dropper de tres etapas disfrazado de paquete de utilidad y componente de interfaz de usuario interno. La carga útil se activa en require(), no es un script de instalación, así que --ignore-scripts Esto no lo detiene. Diecinueve de los veinte nombres de paquetes fueron eliminados de la publicación por el operador a las pocas horas de su detección; uno fue republicado con una cuenta diferente al día siguiente, y la infraestructura de entrega seguía activa cuando publicamos nuestro análisis completo.

Esta instantánea semanal es parte de nuestro trabajo continuo Resumen de código malicioso, donde validamos nuevas amenazas y brindamos inteligencia procesable para ayudar a los equipos de DevSecOps a proteger sus pipelines antes de que se produzcan daños.