Una campaña de cadena de suministro en npm comenzó el 15 de septiembre comprometiendo inicialmente más de 40 paquetes, entre ellos @ctrl/tinycolor, y se expandió en horas hasta afectar a cientos. El malware, apodado “Shai-Hulud”, se autopropaga entre paquetes de los mantenedores comprometidos para robar tokens y secretos de desarrolladores y CI/CD.
La comunidad de seguridad ha alertado de una nueva ola de intrusiones en el registro npm que combina robo de credenciales y autopropagación «tipo gusano» (worm). La investigación comenzó el 15 de septiembre, cuando analistas detectaron versiones comprometidas del popular paquete @ctrl/tinycolor, con más de dos millones de descargas semanales. En cuestión de horas, otros paquetes de distintos mantenedores resultaron afectados y la campaña escaló hasta alcanzar centenares de publicaciones maliciosas, incluyendo bibliotecas de terceros como las asociadas a la cuenta crowdstrike-publisher. La compañía ha indicado que sus paquetes públicos comprometidos no afectan a su producto Falcon y que rotó claves en los registros públicos.
El rasgo diferenciador de «Shai-Hulud» es su capacidad de replicarse: una vez que el entorno de un mantenedor queda infectado y el malware obtiene un token válido de npm, automatiza la creación de nuevas versiones de todos los paquetes que el mantenedor controla.
La cronología conocida apunta a publicaciones maliciosas el 14-15 de septiembre (UTC) y a una expansión rápida el día 16, con listados que ya superan el centenar largo de paquetes afectados y varios cientos de versiones comprometidas. Firmas de investigación independientes han documentado indicadores como el hash del bundle.js, los nombres de ficheros y ramas (shai-hulud) y búsquedas en GitHub que devuelven repositorios «Shai-Hulud» o «*-migration».
Aunque los paquetes iniciales más visibles pertenecen al ecosistema Angular/React y a la comunidad NativeScript, el impacto potencial trasciende tecnologías concretas: cualquier desarrollador o agente de CI que haya instalado las versiones maliciosas durante la ventana de exposición puede haber filtrado secretos. Como agravante, los workflows añadidos persisten en los repositorios y pueden reactivar la exfiltración en ejecuciones futuras, incluso si el host original ya no está comprometido.
Más información
- Self-Replicating Worm Hits 180+ npm Packages to Steal Credentials in Latest Supply Chain Attack: https://thehackernews.com/2025/09/40-npm-packages-compromised-in-supply.html
- Popular Tinycolor npm Package Compromised in Supply Chain Attack Affecting 40+ Packages: https://socket.dev/blog/tinycolor-supply-chain-attack-affects-40-packages
- Ongoing Supply Chain Attack Targets CrowdStrike npm Packages: https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages
- Self-replicating Shai-hulud worm spreads token-stealing malware on npm: https://www.reversinglabs.com/blog/shai-hulud-worm-npm
