Malware creado por IA: descubren stealer en npm que afecta a desarrolladores

Las inteligencias artificiales ya no solo generan código legítimo. Un nuevo descubrimiento en la seguridad de internet revela que los cibercriminales también las están usando para crear malware sofisticado. Esta semana, investigadores detectaron PhantomRaven, un robo-información disfrazado de paquete npm que fue probablemente desarrollado con ayuda de un LLM (modelo de lenguaje grande). Un dato inquietante para cualquiera que use librerías JavaScript en sus proyectos.

¿Qué pasó?

Un atacante motivado económicamente distribuyó PhantomRaven a través del npm package registry, el repositorio central donde los desarrolladores descargan librerías de JavaScript. El malware actúa como un robo-información (information stealer) capaz de extraer datos sensibles de los sistemas infectados.

Lo más interesante del hallazgo es que los investigadores de seguridad determinaron con alta confianza que el código fue escrito usando una IA generativa. ¿Las pistas? Comentarios excesivamente verbosos, código placeholder innecesario y patrones estadísticos en los tokens que delatan la mano de ChatGPT o herramientas similares. Es el primer caso documentado donde un threat actor aprovecha LLMs para automatizar la creación de malware distribuido masivamente.

El atacante se presentaba como un "bug bounty hunter" (cazador de bugs), lo que le daba credibilidad falsa dentro de la comunidad dev. Una táctica conocida en el ecosistema de seguridad ofensiva donde los criminales se hacen pasar por investigadores legítimos para ganar confianza.

¿Por qué importa en Argentina y América Latina?

En la región, la adopción de JavaScript y Node.js crece exponencialmente. Startups, empresas fintech, agencias digitales y desarrolladores freelancers dependen de npm constantemente. Un ataque así no solo afecta al usuario final, sino que puede comprometer aplicaciones financieras, sistemas de e-commerce y plataformas SaaS que operan localmente.

Además, muchos desarrolladores latinoamericanos trabajan remotamente para empresas globales. Si sus máquinas se infectan con PhantomRaven, las consecuencias escalan: acceso a credenciales de clientes, robo de propiedad intelectual, espionaje corporativo. Argentina, Chile, Brasil y México tienen creciente presencia en el desarrollo de software global, lo que los convierte en blancos atractivos.

¿Qué se recomienda?

• Auditá tus dependencias: Reviá el archivo package-lock.json y verificá que no tengas versiones maliciosas instaladas. Si usás npm, ejecutá `npm audit` regularmente.
• Usa herramientas de scanning: Plataformas como Snyk, WhiteSource o GitHub's Dependabot detectan paquetes comprometidos automáticamente.
• Sé escéptico con nuevos paquetes: Si un desarrollador desconocido publica una librería "nueva y mejorada" de algo existente, investigá su historial. Verificá estrellas en GitHub, actividad reciente y reputación.
• Monitoreo de permisos: Examiná qué permisos solicita un paquete en la instalación. Si pide acceso a tu sistema de archivos sin motivo claro, es una bandera roja.
• Mantén tus herramientas actualizadas: npm, Node.js y tus IDEs deben estar al día con los últimos parches de seguridad.
• Educación en el equipo: Si trabajás en una empresa o startup, capacitá a desarrolladores sobre supply chain attacks. Este es el nuevo frente de batalla.

La combinación de IA + npm es peligrosa porque reduces el tiempo que toma crear malware convincente. Pero también es predecible: mientras haya repositorios públicos sin fricción, habrá ataques. La responsabilidad cae tanto en las plataformas como en nosotros como usuarios.

Fuente: The Hacker News