Microsoft detecta paquete npm malicioso robando datos de sistemas UNIX

El equipo de seguridad de npm (Node Package Manager), el administrador de paquetes de facto para el ecosistema JavaScript, ha eliminado hoy un paquete malicioso que fue capturado robando información confidencial de los sistemas UNIX. El paquete malicioso se llama 1337qq-js y se cargó en el repositorio npm el 30 de diciembre de 2019. El paquete se descargó al menos 32 veces, antes de ser visto y hoy por el equipo de Investigación de Vulnerabilidad de Microsoft. Según un análisis realizado por el equipo de seguridad de npm, el paquete extrae información confidencial a través de scripts de instalación y solo se dirige a sistemas UNIX. El tipo de datos que recopila incluye: Robar variables de entorno se considera una violación de seguridad importante porque cierta información, como contraseñas codificadas o tokens de acceso a la API, a menudo se almacena como variables de entorno en algunas aplicaciones web o móviles de JavaScript. El equipo de npm recomienda que todos los desarrolladores que descargaron o utilizaron este paquete de JavaScript en sus proyectos eliminen el paquete de sus sistemas y roten las credenciales comprometidas. Esto marca el sexto incidente de un paquete malicioso que aparece en el índice del repositorio npm, aunque este es el menos grave, principalmente porque los analistas de seguridad de Microsoft capturaron la biblioteca dos semanas después de su publicación y antes de que obtuviera un seguimiento serio. Los incidentes anteriores de paquetes npm maliciosos que lo hicieron en npm incluyen: pag VER GALERÍA COMPLETA