Los piratas informáticos sospechosos de estar vinculados a Coreia de Norte irrumpieron en el software Axios, una biblioteca de código abierto ampliamente utilizada por empresas estadounidenses para gestionar solicitudes HTTP en aplicaciones web. El incidente ocurrió el martes por la mañana, cuando los atacantes tuvieron acceso durante unas tres horas a la cuenta de un desarrollador responsable del proyecto. Durante Durante este período, enviaron actualizaciones maliciosas a organizaciones que descargaron las versiones comprometidas.
Empresas de diferentes sectores, incluidos los de salud, finanzas y empresas que se ocupan de criptoactivos, utilizan Axios para crear y mantener sus sitios web y aplicaciones. Google La firma de ciberinteligencia Mandiant atribuyó el ataque a un grupo de piratas informáticos norcoreanos. Especialistas indican que el objetivo principal involucra el robo de credenciales y acceso a sistemas para posterior extracción de criptomonedas.
Acceso inicial y distribución maliciosa.
Los atacantes comprometieron la cuenta del desarrollador y publicaron versiones alteradas de Axios en el registro npm. Las actualizaciones de Essas incluían una dependencia maliciosa que instalaba una puerta trasera capaz de operar en los sistemas Windows, macOS y Linux. La acción permitió que el malware se distribuyera automáticamente a cualquiera que descargara el paquete durante la ventana de exposición.
Las empresas que integraron las versiones afectadas debían actuar rápidamente para aislar los sistemas y evaluar posibles compromisos. La carrera por recuperar el control de la cuenta y eliminar el código malicioso ha movilizado equipos de seguridad en múltiples organizaciones.
Evaluación inicial de la víctima
Huntress identificó aproximadamente 135 dispositivos comprometidos, pertenecientes a aproximadamente 12 empresas. Los números Esses representan solo una fracción inicial de víctimas potenciales, ya que muchas organizaciones todavía están investigando si descargaron las versiones problemáticas. El volumen de descargas semanales de Axios supera las decenas de millones, lo que amplía el alcance del incidente.
Los expertos en ciberseguridad monitorean el tráfico para detectar conexiones a servidores de comando y control utilizados por los atacantes. La investigación continúa mapeando todos los sistemas afectados y mitigando los riesgos restantes.
Previsión de campaña prolongada
Charles Carmakal, director de tecnología de Mandiant, afirmó que los piratas informáticos deberían intentar aprovechar el acceso obtenido para robar criptomonedas de las empresas. Ele estimó que una evaluación completa del impacto requerirá meses de análisis detallado en entornos corporativos. El grupo responsable tiene antecedentes de operaciones financieras motivadas por ganancias que benefician al régimen Pyongyang.
John Hammond, investigador de Huntress, describió el ataque como perfectamente sincronizado, aprovechando el uso cada vez mayor de herramientas de inteligencia artificial en el desarrollo de software sin revisiones de seguridad adecuadas. Muitas Las empresas incorporan componentes de código abierto sin una investigación exhaustiva, lo que genera vulnerabilidades en la cadena de suministro.
Historia de operaciones similares.
Este caso representa otro episodio más de ataques a la cadena de suministro atribuidos a piratas informáticos norcoreanos. Há Hace tres años, un grupo similar comprometió otro software popular utilizado por cadenas de atención médica y hoteles para llamadas de voz y video. Las operaciones cibernéticas constituyen una importante fuente de ingresos para el país, que enfrenta estrictas sanciones internacionales.
Los informes indican que los piratas informáticos vinculados a Norte han robado miles de millones de dólares en criptomonedas y fondos bancarios en los últimos años. El Parte de estos recursos financia programas misilísticos y nucleares, según valoraciones de autoridades y organismos internacionales. El año pasado, un solo ataque resultó en el robo de 1.500 millones de dólares en criptoactivos.
Vulnerabilidades en la cadena de suministro de software
Axios sirve como una herramienta invisible pero esencial que permite que las aplicaciones se conecten a servicios en Internet. Sua La popularidad hace que el paquete sea un objetivo atractivo para operaciones que buscan escala y sigilo inicial. La dependencia de componentes de código abierto sin verificación constante abre la puerta a inserciones maliciosas.
Los expertos recomiendan que las organizaciones revisen urgentemente el uso de Axios en sus entornos y apliquen las correcciones disponibles. Eliminar las versiones comprometidas e implementar rigurosos procesos de verificación de paquetes ayuda a reducir los riesgos futuros en los proyectos de desarrollo.
Coreia Los piratas informáticos aprovechan herramientas de desarrollo ampliamente adoptadas para obtener acceso persistente a redes corporativas. El incidente refuerza la necesidad de prestar mayor atención a la integridad de las actualizaciones de las bibliotecas de código abierto utilizadas diariamente por miles de empresas.