Backdoor en Axios: Ataque de Ingeniería Social Compromete NPM

En el mundo de la ciberseguridad, el año 2026 será recordado por un evento que redefinió nuestra comprensión de la confianza en el software de código abierto. Lo que comenzó como una serie de interacciones profesionales aparentemente inofensivas terminó en el descubrimiento de un sofisticado Backdoor en Axios, la librería HTTP más utilizada en el ecosistema JavaScript con más de 100 millones de descargas semanales. Este incidente no fue el resultado de una vulnerabilidad técnica fortuita, sino de una operación de ingeniería social quirúrgica dirigida contra Jason Saayman, el mantenedor principal del proyecto.

La magnitud del compromiso es difícil de exagerar. Al infiltrar código malicioso en una herramienta tan fundamental, los atacantes —presuntamente vinculados a grupos estatales de Corea del Norte— lograron una posición privilegiada en la cadena de suministro global. Desde servidores de grandes corporaciones hasta aplicaciones móviles y tuberías de CI/CD, el impacto potencial de este Backdoor en Axios pone en evidencia que el eslabón más débil de la infraestructura digital sigue siendo, invariablemente, el factor humano.

El asalto psicológico: ¿Cómo se comprometió al líder de Axios?

A diferencia de los ataques convencionales que buscan fallos en el código (como el desbordamiento de búfer o inyecciones SQL), esta campaña, atribuida al grupo UNC1069 (también conocido como Sapphire Sleet), utilizó una estrategia de engaño multimodal. El ataque contra Jason Saayman comenzó semanas antes de que se publicara la primera versión infectada en el registro de npm.

Los atacantes se hicieron pasar por fundadores de una empresa tecnológica legítima y de alto perfil. No se limitaron a enviar un correo electrónico de phishing; construyeron un entorno de confianza completo que incluía:

• Identidades clonadas: Perfiles de LinkedIn extremadamente convincentes que utilizaban deepfakes y descripciones profesionales precisas.
• Espacios de Slack corporativos: Invitaron a Saayman a un espacio de trabajo de Slack con canales activos, publicaciones de LinkedIn compartidas y perfiles de otros supuestos mantenedores de código abierto.
• Reuniones en Microsoft Teams: La estocada final ocurrió durante una videollamada técnica. Los atacantes simularon un error de conexión o una “versión desactualizada” de la plataforma, instando al mantenedor a instalar un “parche de compatibilidad” que en realidad era un Troyano de Acceso Remoto (RAT).

Una vez que el sistema local de Saayman fue comprometido por este RAT, los atacantes obtuvieron acceso a sus credenciales de desarrollo y tokens de publicación. A pesar de tener habilitada la autenticación de dos factores (2FA), los atacantes pudieron secuestrar la sesión activa y proceder a inyectar el Backdoor en Axios directamente en el registro oficial, eludiendo los procesos de revisión de código en GitHub.

Anatomía técnica del Backdoor en Axios

El 28 de abril de 2026, los atacantes publicaron dos versiones maliciosas: axios@1.14.1 (rama principal) y axios@0.30.4 (rama legacy). Lo más alarmante es que el código fuente de Axios en el repositorio de GitHub permaneció limpio; la malicia residía exclusivamente en el paquete compilado y distribuido a través de npm.

La dependencia “Fantasma”: plain-crypto-js

En lugar de modificar los archivos centrales de la librería —lo que habría sido detectado rápidamente por herramientas de análisis estático—, los atacantes añadieron una nueva dependencia llamada plain-crypto-js@4.2.1. Este paquete fue “pre-calentado” en el registro de npm 18 horas antes con una versión limpia para evitar las alarmas de los escáneres que detectan paquetes recién creados.

El verdadero peligro se activaba mediante un hook de postinstall en el archivo package.json de la dependencia maliciosa. Tan pronto como un desarrollador o un servidor ejecutaba el comando npm install, se activaba una cadena de ejecución que descargaba el payload de segunda etapa.

Cadena de ejecución “Living-off-the-Land” (LotL)

Para maximizar la persistencia y minimizar la detección por parte de sistemas EDR (Endpoint Detection and Response), el malware utilizó técnicas de Living-off-the-Land. Esto implica el uso de herramientas legítimas del sistema operativo para realizar acciones maliciosas:

1. Renombrado de utilidades: En sistemas Windows, el malware copiaba y renombraba utilidades como certutil.exe o powershell.exe con nombres aleatorios o que simulaban ser procesos del sistema (como wt.exe).
2. Ejecución silenciosa: Utilizaba estas herramientas para descargar el RAT multiplataforma denominado WAVESHAPER.V2.
3. Detección de entorno: El script de instalación detectaba si se encontraba en una máquina virtual o en un entorno de análisis (sandbox) antes de proceder, abortando la misión si detectaba herramientas de forense digital.

Infraestructura C2: Ocultos a plena vista en la nube

Uno de los aspectos más sofisticados de este Backdoor en Axios es su infraestructura de Comando y Control (C2). En lugar de comunicarse con servidores dedicados con direcciones IP sospechosas, los atacantes utilizaron servicios de nube legítimos y de alta confianza.

El malware recuperaba instrucciones y exfiltraba datos utilizando canales cifrados en Amazon Web Services (AWS), Tencent Cloud y Backblaze B2. Esta técnica es extremadamente efectiva porque:

• Las conexiones hacia estos dominios rara vez son bloqueadas por firewalls corporativos.
• El tráfico malicioso se mezcla con el tráfico legítimo de la empresa hacia servicios de almacenamiento en la nube.
• Permite a los atacantes rotar rápidamente sus puntos de control sin perder la comunicación con los sistemas infectados.

El objetivo del payload WAVESHAPER.V2 no era el sabotaje inmediato, sino el espionaje y la exfiltración de secretos. Se ha confirmado que el RAT buscaba activamente archivos .env, llaves SSH, configuraciones de Kubernetes y tokens de acceso a nubes (AWS/Azure/GCP), preparando el terreno para ataques laterales masivos.

Atribución y el papel de Corea del Norte

Agencias de inteligencia y firmas de seguridad como Mandiant y CrowdStrike han señalado con alta confianza a actores estatales de la República Popular Democrática de Corea (RPDC) como los autores materiales. El modus operandi —ingeniería social centrada en ofertas de trabajo o colaboraciones técnicas, uso de infraestructura compartida y el despliegue de malware específico para desarrolladores— coincide plenamente con campañas anteriores atribuidas a Lazarus Group o sus subgrupos.

En 2026, estos grupos han evolucionado de simples robos de criptomonedas a una estrategia de “siembra” en el ecosistema de código abierto. Al comprometer una librería como Axios, no solo atacan a una empresa, sino que obtienen una “llave maestra” para miles de organizaciones simultáneamente. Este cambio de paradigma sugiere que el objetivo principal es la obtención de inteligencia económica y tecnológica a largo plazo.

¿Cómo saber si su sistema está afectado?

Dada la inmensa popularidad de Axios, cualquier organización que utilice JavaScript o Node.js debe realizar una auditoría inmediata. La ventana de exposición fue breve (aproximadamente 3 horas), pero suficiente para comprometer miles de máquinas.

Indicadores de Compromiso (IoCs)

• Versiones maliciosas: axios@1.14.1 y axios@0.30.4.
• Dependencia sospechosa: Presencia de plain-crypto-js en el archivo package-lock.json o yarn.lock.
• Archivos de sistema: En Windows, busque ejecuciones inusuales de wt.exe o archivos creados en %PROGRAMDATA%. En macOS, busque el binario com.apple.act.mond en directorios de caché.
• Tráfico de red: Conexiones salientes inusuales hacia buckets de Backblaze B2 o instancias de Tencent Cloud durante el proceso de npm install.

Remediación y Futuro de la Seguridad en la Cadena de Suministro

Si se confirma la presencia del Backdoor en Axios en su infraestructura, la simple actualización de la librería no es suficiente. Debido a que el malware es un RAT diseñado para la persistencia y el robo de credenciales, se deben seguir estos pasos:

1. Aislamiento y Re-imagen: Las estaciones de trabajo de los desarrolladores infectados deben ser formateadas. No se puede garantizar la limpieza total una vez que un RAT ha ganado privilegios de ejecución.
2. Rotación de Secretos: Cambie inmediatamente TODAS las llaves de API, contraseñas, tokens de npm y llaves SSH que estuvieran presentes en la máquina comprometida.
3. Análisis de Logs: Revise los registros de sus tuberías de CI/CD en busca de ejecuciones que hayan ocurrido entre las 00:21 y las 03:30 UTC del 31 de marzo de 2026.

Este incidente con el Backdoor en Axios marca un punto de inflexión. La comunidad de código abierto debe moverse hacia modelos de Trusted Publishing basados en OIDC para eliminar el uso de tokens de acceso de larga duración. Asimismo, herramientas de seguridad como KnowBe4 subrayan que la formación técnica ya no basta; los mantenedores de infraestructura crítica necesitan protocolos de verificación de identidad robustos para sus interacciones en Slack y Teams.

La confianza es la moneda del código abierto, pero en 2026, esa moneda ha sido falsificada de la manera más sofisticada posible. La seguridad de nuestras aplicaciones ya no depende solo de la calidad de nuestro código, sino de la resiliencia psicológica de quienes lo mantienen.