101 Malicious npm Packages Add Developers' WhatsApp Accounts to Groups Without Consent
The Hacker News · 29 sept, 15:45
Investigadores de seguridad descubrieron 101 paquetes npm maliciosos que añaden automáticamente las cuentas de WhatsApp de desarrolladores a grupos sin consentimiento en una campaña denominada PhantomSub. Los paquetes, descargados 490.000 veces (116.000 en el último mes), abusan del proyecto Baileys de WhatsApp de código abierto para suscribir a los desarrolladores a canales controlados por atacantes y, en algunos casos, inyectar publicidad. El análisis de OX Security identificó tres variantes del malware con diferentes técnicas de ofuscación y distribución de identificadores de canales.
La campaña PhantomSub explota el proyecto Baileys, una implementación no oficial de la API de WhatsApp, a través de paquetes npm disfrazados con nombres similares a módulos legítimos. Los 101 paquetes maliciosos se distribuyen en tres variantes: la primera (19 paquetes) obtiene identificadores de canales desde GitHub en tiempo de ejecución; la segunda (60 paquetes) los incrusta en código limpio; la tercera (14 paquetes) utiliza ofuscación y codificación. Los desarrolladores infectados son suscritos a canales mayormente basados en Indonesia que comercializan cuentas para juegos móviles como Mobile Legends: Bang Bang y TikTok, servicios de venta de recursos en línea (JualanRSS), y scripts de bots.
Los atacantes comparten identificadores de canales y cuentas de GitHub entre múltiples paquetes con nombres diferentes, lo que sugiere una operación coordinada con beneficiarios comunes. El volumen de descargas (116.000 en treinta días) indica una distribución significativa entre desarrolladores, quienes se han visto añadidos a grupos sin consentimiento y cuyas cuentas de WhatsApp se utilizan para amplificar la visibilidad de estos servicios fraudulentos. La campaña refleja una tendencia preocupante de abuso de la cadena de suministro de software para comprometer cuentas personales de desarrolladores.
Puntos clave
- 101 paquetes npm maliciosos descargados 490.000 veces, 116.000 en últimos treinta días
- Tres variantes que obtienen y ocultan identificadores de canales de formas distintas
- Afecta a desarrolladores que conectan cuentas personales de WhatsApp a paquetes Baileys
- Canales indonesios comercializan cuentas de juegos, recursos y servicios fraudulentos
- Revisar suscripciones a grupos en WhatsApp, bloquear canales y evitar paquetes que requieren cuentas personales