El estado de las cosas
Amazon identificó al grupo Sapphire Sleet (también conocido como BlueNoroff o Stardust Chollima) como responsable de los siguientes ataques:
- typo-crypto (marzo 2025): paquete pequeño que Amazon considera una prueba.
- debug y chalk (septiembre 2025): dos bibliotecas ampliamente usadas, que afectaron al 10% de los entornos cloud en dos horas.
- axios (marzo 2026): una de las bibliotecas más populares de JavaScript, con más de 100 millones de descargas semanales.
En cada caso, los hackers obtuvieron acceso a la cuenta de un mantenedor legítimo mediante engaños (phishing o suplantación), y luego publicaron una actualización maliciosa.
Entre líneas
La atribución tiene una confianza media, basada en similitudes de tácticas, infraestructura de mando y control, y código reutilizado. No se encontró una prueba única que una todos los incidentes, pero el patrón operativo es consistente.
Un detalle relevante: los ataques a debug y chalk dejaban un script en el navegador que modificaba direcciones de billeteras de criptomonedas antes de que el usuario firmara una transacción. Ese código no usaba el gancho de instalación típico de npm, lo que sugiere que los atacantes adaptan sus métodos según el paquete objetivo.
Lo que dicen
Amazon señala tres tendencias en estos ataques de cadena de suministro:
- Fragmentación maliciosa: los atacantes dividen el código dañino en varios paquetes de aspecto inocente para evadir la detección.
- Construcción de confianza a largo plazo: pueden pasar meses manteniendo proyectos legítimos o colaborando como contribuyentes antes de introducir el código malicioso.
- Comportamiento externo: la funcionalidad maliciosa se separa del contenido del paquete, usando scripts externos y configuraciones para activarla.
Lo que cambia
La conexión entre los cuatro ataques unifica la respuesta de seguridad. Ahora las empresas saben que un mismo grupo opera detrás de incidentes que antes se consideraban aislados. Esto permite buscar patrones comunes en infraestructura, dominios y métodos de ingeniería social.
Amazon también advierte que la inteligencia artificial generativa facilita que estos grupos creen perfiles de falsos desarrolladores y mantengan campañas de engaño convincentes durante meses.
En el largo plazo
Corea del Norte ha incrementado el robo de criptomonedas y datos como fuente de ingresos ante las sanciones internacionales. Atacar paquetes de software populares permite a los hackers llegar a miles de víctimas indirectas de una sola vez, sin necesidad de elegir objetivos individuales. Este modelo de ataque seguirá siendo atractivo mientras la confianza en los repositorios de código abierto dependa en gran medida de la seguridad de las cuentas de sus mantenedores.
techcrunch.com
OpenAI y Anthropic lideran un centenar de firmas en alerta por ciberataques con IALa carta abierta advierte que los ataques con inteligencia artificial serán "mucho más generalizados" en los próximos meses, según el texto firmado este jueves por 116 entidades.
theverge.com
gamespot.com
androidauthority.com
androidauthority.comGoogle lanza edición especial Pokémon Sleep del Fitbit AirLa banda sin pantalla de 12 gramos incorpora una correa Sleepy Blue con Pikachu durmiente y sincroniza datos de sueño con la aplicación.
bleepingcomputer.comAustralia arresta a dos presuntos hackers del grupo TeamPCP en PerthLos sospechosos, de 21 y 23 años, comparecieron ante un tribunal de Perth tras ser acusados de participar en un sindicato de ciberdelincuencia que afectó a más de mil organizaciones.
nbcnews.com
Meta acuerda pagar US$16.680 millones y reformar redes en caso por adicción juvenilEl anuncio llegó un día después de que Adam Mosseri testificara en el juicio federal de Oakland, California.
df.cl
chilevision.cl
bleepingcomputer.com
elfinanciero.com.mxOpenAI revela informe técnico sobre el ataque autónomo de sus agentes de IA a Hugging FaceLa compañía, junto a las organizaciones METR y Redwood Research, publicó esta semana un análisis de 37 páginas que reconstruye el incidente ocurrido a mediados de julio.
macrumors.comApple confirma su evento del 9 de septiembre con el iPhone 18 Pro y su primer plegableLa presentación será la primera de John Ternus como director ejecutivo, quien asumirá el cargo sustituyendo a Tim Cook el 1 de septiembre.
macrumors.com
Apple lanza Mac mini M6 y Mac Studio con chips M5 UltraLos nuevos equipos buscan potenciar la inteligencia artificial local y estarán disponibles desde el 22 de septiembre.
euronews.com
bleepingcomputer.com
bbc.com
9to5mac.comAnthropic unifica la memoria de Claude entre chat y CoworkLa actualización permite a los usuarios revisar, editar o eliminar recuerdos organizados por temas desde los ajustes.
macrumors.comApple presenta el Mac Studio con los chips M5 Max y M5 UltraLa nueva estación de trabajo admite hasta 512GB de memoria unificada e incorpora conectividad Wi-Fi 7 y Bluetooth 6 por primera vez.
