El malware distribuido a través de proyectos de código abierto está evolucionando rápidamente. Lo que durante años estuvo dominado por campañas de criptominería, ahora ha dado paso a un objetivo mucho más lucrativo para los ciberdelincuentes: el robo de credenciales, claves API y secretos de desarrollo.
Según un reciente análisis de seguridad, los atacantes están centrando sus esfuerzos en comprometer la cadena de suministro del software (Software Supply Chain), infiltrándose en dependencias utilizadas por miles de proyectos para obtener acceso persistente a sistemas corporativos.
El robo de credenciales supera a la criptominería
Durante años, gran parte del malware presente en repositorios de código abierto se limitaba a instalar criptomineros para aprovechar la potencia de los equipos infectados.
Sin embargo, más de la mitad de los paquetes maliciosos actuales ya tienen otro objetivo mucho más rentable:
- Robar contraseñas.
- Extraer claves API.
- Capturar tokens de autenticación.
- Obtener secretos utilizados durante el desarrollo.
La razón es sencilla: unas credenciales robadas ofrecen acceso permanente a infraestructuras completas, mientras que un criptominero suele ser detectado rápidamente por el elevado consumo de recursos.
Los atacantes ya no buscan potencia de cálculo, sino las llaves que abren toda la infraestructura de una empresa.
El malware moderno ya no actúa en un solo paso
Otra de las tendencias detectadas es el enorme crecimiento del malware modular.
Los investigadores observaron que el uso de droppers y loaders aumentó casi un 2.900 % en un solo año.
Esto significa que el paquete malicioso instalado inicialmente apenas contiene código dañino.
Su función consiste en:
- Descargar nuevas cargas maliciosas.
- Modificar su comportamiento tras la instalación.
- Actualizarse dinámicamente.
- Evadir sistemas de detección tradicionales.
Actualmente, alrededor del 77 % de los paquetes maliciosos combinan varios tipos de amenazas simultáneamente.
La cadena de suministro del software está en el punto de mira
Los atacantes ya no necesitan vulnerar directamente a una empresa.
Resulta mucho más sencillo comprometer una dependencia utilizada por miles de proyectos.
El ecosistema npm, empleado por millones de aplicaciones JavaScript, aparece como uno de los principales objetivos.
Un único paquete comprometido puede propagarse rápidamente a través de:
- Bibliotecas compartidas.
- Dependencias transitivas.
- Pipelines CI/CD.
- Repositorios internos.
Este efecto dominó convierte un ataque aparentemente pequeño en un incidente de gran escala.
Automatización: una infección puede propagarse a miles de proyectos
Las empresas automatizan cada vez más sus procesos de compilación mediante CI/CD.
Precisamente esa automatización se ha convertido en uno de los mayores aliados de los atacantes.
Si una dependencia maliciosa entra en el proceso de compilación puede:
- Robar certificados digitales.
- Extraer claves API.
- Capturar tokens de acceso.
- Comprometer múltiples compilaciones automáticamente.
En otras palabras, la misma automatización diseñada para acelerar el desarrollo también puede acelerar una infección masiva.
Los asistentes de IA también generan nuevos riesgos
El informe también pone el foco sobre los asistentes de programación basados en inteligencia artificial.
Modelos como los LLM pueden inventar nombres de paquetes inexistentes (alucinaciones o hallucinations).
Los investigadores advierten que los ciberdelincuentes ya aprovechan este comportamiento para publicar paquetes con nombres muy similares a los sugeridos por la IA.
Así, un desarrollador que copie la recomendación podría instalar software malicioso creyendo que se trata de una dependencia legítima.
Por ello, recomiendan que las herramientas de IA consulten información en tiempo real sobre:
- Existencia del paquete.
- Mantenimiento del proyecto.
- Procedencia del código.
- Nivel de confianza del ecosistema.
“Shift Left”: proteger el software desde el origen
El estudio insiste en que muchas organizaciones siguen centrando su seguridad únicamente en los sistemas ya desplegados.
Sin embargo, los atacantes han desplazado el campo de batalla mucho antes, hasta el propio proceso de desarrollo.
Por ello cobra especial importancia la estrategia conocida como Shift Left, que consiste en introducir controles de seguridad desde las primeras fases del desarrollo.
Entre las medidas recomendadas destacan:
- Validar automáticamente las dependencias antes de incorporarlas al proyecto.
- Verificar la procedencia y la integridad de todos los paquetes utilizados.
- Monitorizar continuamente la exposición de credenciales durante la compilación.
- Revocar inmediatamente las claves comprometidas.
- Utilizar herramientas de IA conectadas a bases de datos fiables sobre paquetes de software.
El nuevo objetivo ya no es la potencia del equipo, sino el acceso a toda la empresa
La conclusión del informe es clara: el malware de código abierto ha dejado de perseguir recursos informáticos para centrarse en obtener acceso permanente a infraestructuras completas.
En lugar de consumir CPU mediante criptominería, los atacantes buscan credenciales, secretos y tokens que les permitan moverse por redes corporativas con mayor discreción y durante mucho más tiempo.
En este nuevo escenario, proteger la cadena de suministro del software se ha convertido en una prioridad estratégica, especialmente para aquellas organizaciones que dependen de ecosistemas de código abierto y procesos de desarrollo altamente automatizados.
