Secuestran diez paquetes de npm para difundir el malware PolinRider mediante Ethereum

Nivel B · Parchea esta semana – Al sprint

Quién está expuesto: Proyectos que instalen los 10 paquetes de npm comprometidos

Nivel B porque: Se está explotando O exploit público

Alcance

Ataque

Daño

Corrección

Se está explotando · Compromiso total · Cadena de suministro

Qué hacer

Revisar si el proyecto depende de alguno de los 10 paquetes comprometidos y en qué versiones.

Lo esencial

Atacantes tomaron el control de 10 paquetes de npm e insertaron código oculto en 12 versiones.
El código usa la cadena de bloques de Ethereum para localizar un servidor y descargar malware adicional.
El hallazgo está identificado como sonatype-2026-010515.

Los desarrolladores que instalen o actualicen estos paquetes de npm podrían ejecutar código malicioso en sus equipos y entornos de desarrollo.

Checklist · 4 de 10 con sí

Sí	Afecta a equipos técnicos	Razonamiento: los paquetes npm los usan desarrolladores para construir software.
No	Infraestructura básica	Razonamiento: se comprometen diez paquetes concretos, no el registro npm en su conjunto.
No	Herramienta popular	Razonamiento: las fuentes no identifican los paquetes ni su nivel de uso.
Sí	Se está explotando	Blog elhacker.NET: atacantes tomaron control de 10 paquetes npm y difunden malware PolinRider.
No	Exploit público	Blog elhacker.NET: solo describe el hallazgo y el malware; no menciona código de explotación publicado.
No	En remoto, sin credenciales	Blog elhacker.NET: el código se ejecuta al usar los paquetes comprometidos, lo que requiere acción de la víctima.
Sí	Compromiso total	Blog elhacker.NET: el código oculto localiza un servidor y descarga malware adicional.
No	Secretos expuestos	Blog elhacker.NET: no se informa de robo de credenciales, datos ni código fuente.
Sí	Cadena de suministro	Blog elhacker.NET: se secuestraron 10 paquetes de npm e insertaron código oculto en 12 versiones.
No	Aún sin corrección	Blog elhacker.NET: no menciona una versión corregida ni una respuesta del registro.

Visto por primera vez hace 54 min · 1 fuente · La noticia completa · Cómo se deciden los niveles