Alerta | El equipo de seguridad de KuCoin detiene un ataque de cadena de suministro dirigido a usuarios de la exchange

El 12 de febrero de 2025, el equipo de seguridad de KuCoin detectó un ataque de cadena de suministro que se dirigía a usuarios de intercambios centralizados importantes (CEX) a través de su plataforma de escaneo de seguridad desarrollada internamente. El equipo respondió rápidamente y analizó los comportamientos maliciosos incrustados en el paquete de dependencia. Hasta ahora, la dependencia maliciosa ha sido descargada cientos de veces. El equipo de seguridad de KuCoin ha informado a la dependencia maliciosa al equipo oficial de NPM e está emitiendo este aviso para advertir a los usuarios que estén alertas. 

Comportamiento de muestra 

La plataforma de escaneo de seguridad de KuCoin detectó un paquete de dependencia disfrazado como el SDK de la API de KuCoin en el repositorio oficial de NPM. Al instalarse mediante npm, este paquete recupera las claves secretas almacenadas en el servidor o máquina local del usuario y las envía al dominio malicioso: http://ihlkoqayjlegsltkrlhf1sg6hpfdbmrgy[.]oast[.]fun

Análisis de muestra

El análisis a través de la plataforma de escaneo de sandbox de KuCoin reveló que esta dependencia maliciosa se hacía pasar por paquetes de dependencia de SDK relacionados tanto con KuCoin como con Kraken en el repositorio oficial de NPM.

Estos tipos de dependencias emplean nombres encriptados para engañar a los usuarios para que instalen paquetes de dependencia falsos. Durante el proceso de instalación, incrustan comandos maliciosos que extraen archivos de clave secreta del entorno local del usuario o del servidor y envían los datos a un dominio malicioso a través de DNSlog.

El punto de activación específico del comportamiento malicioso es el siguiente: el comando malicioso se ejecuta durante la fase de preinstalación del paquete de dependencia.

Todos los 10 paquetes de dependencia en el repositorio de esta fuente maliciosa muestran el mismo comportamiento. 

Perfil del atacante 

La investigación reveló los siguientes detalles de registro asociados con el atacante en el repositorio oficial de NPM: 

Nombre de usuario: superhotuser1
Email: tafes30513@shouxs[.]com 

Según verifymail.io, el dominio shouxs[.]com está asociado con servicios de correo electrónico temporal, lo que indica que el atacante es un hacker experimentado con habilidades en técnicas de anti-seguimiento.

Descripción de la amenaza 

Los ataques a la cadena de suministro representan riesgos significativos. A medida que se desarrollan, su impacto se expande, ya que muchos proyectos dependen de numerosos paquetes de terceros. Una vez que se publica un paquete malicioso y se utiliza ampliamente, sus efectos se propagan rápidamente. Dependencias maliciosas pueden robar información sensible de los usuarios, como variables de entorno, claves de API y datos de usuario, lo que conduce a fugas de datos. También pueden ejecutar acciones destructivas, como la eliminación de archivos, la encriptación de datos (cifrado de rescate) o la interrupción del sistema. Además, los atacantes pueden instalar puertas traseras dentro del paquete, lo que permite un control a largo plazo sobre los sistemas afectados y habilita ataques posteriores. 

Las dependencias maliciosas que se dirigen específicamente a KuCoin y Kraken roban las claves de inicio de sesión de los usuarios. Si los usuarios inician sesión en sus computadoras personales o servidores utilizando nombres de usuario y contraseñas, existe un riesgo significativo de que sus servidores puedan ser comprometidos. 

En el momento en que el equipo de seguridad de KuCoin emitió esta alerta, la dependencia maliciosa había sido descargada cientos de veces. Las estadísticas de descarga son las siguientes: 

kucoin-production, descargas: 67
kucoin-main, descargas: 70
kucoin-internal, descargas: 63
kucoin-test, descargas: 69
kucoin-dev, descargas: 66 

kraken-dev, descargas: 70
kraken-main, descargas: 65
kraken-production, descargas: 67
kraken-test, descargas: 65
kraken-internal, descargas: 64 

IOC 

Desde el momento en que el atacante cargó la dependencia maliciosa hasta el momento en que el equipo de seguridad de KuCoin la detectó, pasó menos de un día. El equipo de seguridad de KuCoin ya ha informado el problema al equipo oficial de NPM, aunque la investigación adicional y la eliminación pueden llevar algo de tiempo. Mientras tanto, KuCoin ha emitido este aviso público para alertar a los usuarios y ayudar a prevenir compromisos.

Aviso: Esta página fue traducida utilizando tecnología de IA (impulsada por GPT) para tu conveniencia. Para obtener la información más precisa, consulta la versión original en inglés.