bee-js 13.3.0 en npm: un malware buscaba claves de monederos cripto

Los atacantes hicieron que un script se ejecutara solo al instalar la biblioteca. En los comentarios del código, la conexión a su servidor aparecía como envío de analíticas. En realidad, el script descargaba JavaScript de ese servidor y lo ejecutaba al instante, con los permisos de quien instalaba el paquete.

¿Qué hacía el malware de bee-js?

La carga buscaba en los datos de Swarm Desktop una clave de monedero cifrada y un archivo de configuración. Si la configuración incluía la contraseña de la clave, robar ambos archivos bastaba para controlar el monedero. También intentaba mantenerse en el sistema una vez terminada la instalación.

En Linux y macOS, el ataque seguía con la instalación de una puerta trasera para ejecutar comandos de forma remota. La dirección de su servidor de control se leía de un contrato inteligente de Ethereum, de modo que el operador podía cambiarla con una sola transacción, sin publicar una nueva versión.

¿Cómo saber si me afecta?

La versión también podía llegar de forma indirecta. Los rangos de dependencias de varias herramientas de Swarm permitían la 13.3.0, así que no basta con buscar la dependencia directa en el manifiesto. Hay que comprobar la versión realmente resuelta en el archivo lock.

Los equipos deberían revisar los archivos lock, las cachés de paquetes y los registros de instalación en CI en busca de la 13.3.0. Si se instaló con scripts permitidos, o si se ejecutó Swarm Desktop 0.56.2, hay que investigar la máquina o el runner de CI. En un runner, eso incluye los tokens de publicación de paquetes y el acceso al código fuente.