Falso acelerador Web3 distribuye malware a través de npm para secuestrar agentes de IA

Los investigadores de seguridad han identificado un sofisticado ataque a la cadena de suministro que se hacía pasar por un acelerador de capital riesgo Web3. La operación, rastreada como REF8801, distribuyó paquetes npm maliciosos diseñados para infectar máquinas de desarrolladores y secuestrar flujos de trabajo de inteligencia artificial. Esta campaña tenía como objetivo startups de criptomonedas ofreciendo créditos gratuitos de IA y auditorías de seguridad mediante herramientas falsas.

Qué ocurrió

Los actores de amenazas se hicieron pasar por Apex Accelerator, una entidad que afirmaba ofrecer inversiones y alianzas a proyectos cripto. Publicaron dos paquetes npm principales, @apexacc/cli y @apexacc/audit, bajo la cuenta de usuario "apexaccelerator". Estos paquetes fueron anunciados como un asesor de IA para fundadores y un escáner de seguridad para contratos inteligentes, respectivamente. Los repositorios de GitHub asociados y los paquetes npm han sido eliminados desde entonces, pero no antes de comprometer numerosos sistemas.

Una vez instalados, estos paquetes no proporcionaban la funcionalidad prometida. En su lugar, actuaban como cargadores de malware específico para cada plataforma. En sistemas Windows, el software desplegaba un robador de información personalizado que exfiltraba datos a través de Telegram. En macOS, instalaba una puerta trasera conocida como CloudSyncD. Más allá del robo tradicional de datos, el malware reconfiguraba los agentes de IA locales para enrutar las solicitudes a modelos de lenguaje grandes (LLM) a través de infraestructura controlada por los atacantes, lo que permitía a los operadores interceptar prompts, fragmentos de código e historiales de conversación.

Detalles clave

• La campaña utilizó dos paquetes npm principales: @apexacc/cli y @apexacc/audit, vinculados a la falsa Apex Foundation.
• Las víctimas en Windows recibieron un cargador de múltiples etapas que evade el Control de cuentas de usuario (UAC) y parchea interfaces de seguridad como AMSI y ETW.
• Las víctimas en macOS fueron atacadas con CloudSyncD, que utiliza ventanas emergentes de autorización falsas para obtener privilegios sudo y persistir en el sistema.
• El malware redirige el tráfico LLM de OpenRouter y registra un servidor malicioso del Protocolo de Contexto de Modelo (MCP) para influir en el comportamiento de los agentes de IA.
• Iteraciones anteriores de esta campaña en julio de 2026 distribuyeron paquetes como @apexfdn/apex y @copilot-mcp/apex.
• Elastic Security Labs observó comentarios en ruso en el código fuente, aunque el origen de los atacantes sigue sin confirmarse.

Antecedentes

Los ataques a la cadena de suministro en el ecosistema JavaScript a menudo dependen de que los desarrolladores confíen en gestores de paquetes populares como npm. Los atacantes crean paquetes con nombres y descripciones que imitan herramientas legítimas o ofrecen servicios de alto valor, como acceso gratuito a IA o auditorías de seguridad. Una vez que un desarrollador instala estos paquetes, el código malicioso se ejecuta durante la instalación o en tiempo de ejecución, descargando frecuentemente cargas adicionales desde servidores externos.

El Protocolo de Contexto de Modelo (MCP) es un estándar emergente que permite a los agentes de IA interactuar con herramientas externas y fuentes de datos. Al registrar un servidor MCP malicioso, los atacantes pueden insertarse en el bucle de toma de decisiones de un agente de IA. Esto les permite no solo espiar los datos procesados, sino también inyectar instrucciones falsas o definiciones de herramientas, lo que podría provocar que el agente realice acciones no deseadas o filtre contexto sensible.

Por qué importa

Para los equipos que gestionan su propio software, este incidente destaca el riesgo de integrar herramientas de desarrollo de terceros sin una verificación rigurosa. La promesa de créditos gratuitos de IA o escáneres de seguridad especializados puede bajar las defensas, llevando a los ingenieros a instalar software no auditado. La vulneración va más allá del simple robo de datos; al secuestrar el tráfico de los agentes de IA, los atacantes obtienen visibilidad sobre bases de código propietarias, discusiones internas y documentos de planificación estratégica compartidos con asistentes de IA.

La sofisticación técnica del malware demuestra un cambio hacia la orientación del flujo de trabajo de desarrollo en sí mismo. El cargador de Windows desactiva activamente las funciones de monitoreo de seguridad, mientras que el componente de macOS aprovecha la ingeniería social para obtener privilegios elevados. Esto significa que la protección estándar de puntos finales puede quedar ciega si el malware carga con éxito, dificultando la detección hasta que se observa la exfiltración de datos. Además, la redirección del tráfico de IA implica que, incluso si la máquina local se limpia, los datos históricos enviados a APIs controladas por los atacantes pueden estar ya comprometidos.

Qué puedes hacer

• Audita tus dependencias de npm regularmente y elimina cualquier paquete de editores desconocidos o no verificados, especialmente aquellos que ofrezcan servicios gratuitos de IA.
• Monitoriza el tráfico de red saliente desde las máquinas de desarrollo para detectar conexiones inusuales a dominios desconocidos o endpoints de API inesperados.
• Restringe los permisos de los agentes de IA y asistentes de codificación para evitar que accedan a repositorios sensibles o herramientas internas sin aprobación explícita.
• Implementa listas blancas estrictas para los servidores del Protocolo de Contexto de Modelo (MCP) para asegurar que los agentes solo se conecten a servicios verificados y de confianza.
• Utiliza entornos aislados o contenedores para probar nuevas herramientas y scripts de desarrollo antes de instalarlos en estaciones de trabajo principales.
• Educa a los miembros del equipo sobre los riesgos de instalar herramientas CLI desde enlaces en redes sociales u ofertas de inversión no solicitadas.