Alerta: descubren malware en npm que amenaza a desarrolladores de LatAm

Si sos desarrollador y usás npm, prestá atención: acaban de descubrir una campaña de ataque a la cadena de suministro de software que está distribuyendo malware directo en los repositorios que usamos día a día. El paquete en cuestión se llama 'imgdecode' y aparenta ser una herramienta para decodificar imágenes, pero en realidad esconde un cargador de shellcode capaz de comprometer tu máquina Windows.

¿Qué pasó?

Investigadores de ciberseguridad detectaron un paquete malicioso llamado 'imgdecode' subido a npm el 30 de septiembre de 2026 por un usuario de nombre 'malfexteste8'. Hasta el momento de la publicación, el paquete había sido descargado casi 1.000 veces y seguía disponible en el repositorio. Lo preocupante es que se trata de parte de una campaña más amplia denominada MALFEX, que parece estar enfocada en infiltrarse en proyectos a través de dependencias comprometidas.

El malware utiliza complementos nativos de Windows para ocultar su verdadera funcionalidad. En lugar de simplemente decodificar imágenes como promete, el paquete carga shellcode —código malicioso de bajo nivel— que puede otorgar control total a los atacantes sobre la máquina infectada. Este tipo de ataques es especialmente peligroso porque los desarrolladores confían en los paquetes de repositorios 'oficiales' sin sospechar que podrían estar comprometidos.

Lo que hace más alarmante este descubrimiento es que MALFEX parece ser una campaña coordinada y estructurada, no un incidente aislado. Esto sugiere que los atacantes están estudiando sistemáticamente cómo infiltrarse en la cadena de suministro de software para maximizar el impacto.

¿Por qué importa en Argentina y América Latina?

En nuestra región, la adopción de tecnologías open source es masiva. Desde startups hasta empresas establecidas, pasando por agencias gubernamentales y bancos, todos dependemos de paquetes npm para desarrollar aplicaciones. Un ataque como este puede afectar directamente a miles de proyectos en Argentina, Brasil, México y el resto de Latinoamérica.

Además, muchas empresas locales tienen recursos limitados para auditar cada dependencia que usan en sus proyectos. Esto las hace especialmente vulnerables a este tipo de ataques disfrazados. Si un desarrollador argentino instaló 'imgdecode' sin intención, podría haber comprometido sistemas críticos de su empresa sin saberlo.

¿Qué se recomienda?

• Revisá tus dependencias: Si usas npm en tus proyectos, hacé un audit de inmediato. Verificá si 'imgdecode' u otros paquetes sospechosos están instalados. Podés usar npm audit para detectar vulnerabilidades conocidas.
• Actualiza regularmente: Mantené tus paquetes al día. Los mantenedores de npm y la comunidad de seguridad trabajan rápido para identificar y reportar paquetes maliciosos.
• Usá herramientas de análisis: Considera usar servicios como Snyk o npm Advisor que pueden alertarte sobre paquetes comprometidos antes de que los instales.
• Ten cuidado con dependencias nuevas: Si un paquete fue subido recientemente, tiene pocos descargas o los mantenedores son desconocidos, investigá un poco más antes de agregarlo a tu proyecto.
• Reporta sospechosos: Si encontrás un paquete que te parece malicioso, reportalo directamente a npm y a la comunidad de seguridad.
• Aisla tu entorno de desarrollo: Trabajá en máquinas virtuales o contenedores cuando sea posible, para limitar el daño en caso de que algo salga mal.

Fuente: The Hacker News