Campaña de malware PromptMink impulsada por IA

Investigadores de ciberseguridad han descubierto código malicioso oculto en un paquete npm tras la introducción de una dependencia dañina en un proyecto mediante código coescrito por el modelo de lenguaje a gran escala (LLM) Claude Opus de Anthropic. Este hallazgo pone de manifiesto cómo evolucionan las amenazas a la cadena de suministro de software debido al uso indebido de los flujos de trabajo de desarrollo asistidos por IA.

El paquete clave de la campaña, '@validate-sdk/v2', se presentó en npm como un kit de desarrollo de software de utilidad para el hash, la validación, la codificación y decodificación, y la generación segura de números aleatorios. En realidad, estaba diseñado para robar información confidencial de sistemas comprometidos. Los investigadores detectaron indicios que sugerían que el paquete podría haber sido programado mediante inteligencia artificial generativa. Se subió por primera vez a npm en octubre de 2025.

PromptMink vinculado a actividades de amenaza norcoreanas

Los investigadores han denominado a la campaña PromptMink y creen que está relacionada con el grupo de ciberdelincuentes norcoreano Famous Chollima, también conocido como Shifty Corsair. Este grupo ha sido vinculado anteriormente con la operación Contagious Interview, que se ha prolongado durante mucho tiempo, y con estafas fraudulentas de trabajadores informáticos.

La campaña demuestra un enfoque continuo en el ecosistema de código abierto, especialmente en los entornos vinculados a las criptomonedas y al desarrollo Web3.

Una confirmación coescrita por IA introdujo una dependencia peligrosa.

El paquete malicioso se insertó mediante una modificación realizada el 28 de febrero en un repositorio de agentes de comercio autónomo. Según se informa, dicha modificación fue coescrita por el modelo Claude Opus de Anthropic. Una vez incluido, el paquete permitió a los atacantes acceder a las carteras de criptomonedas y robar fondos.

La cadena de dependencias se extendió a través de varios paquetes. '@validate-sdk/v2' figuraba dentro de '@solana-launchpad/sdk', que a su vez era utilizado por un tercer paquete llamado openpaw-graveyard. Este paquete se describía como un agente de IA autónomo capaz de crear una identidad social en la cadena de bloques Solana mediante el Protocolo Tapestry, intercambiar criptomonedas a través de Bankr e interactuar con otros agentes en Moltbook.

Una modificación del código fuente realizada en febrero de 2026 añadió la dependencia contaminada, lo que provocó la ejecución de código malicioso y la filtración de credenciales que podrían exponer los activos de la cartera.

Estrategia de infección por capas diseñada para evitar la detección.

Los atacantes utilizaron una estructura de paquetes por fases. Los paquetes iniciales parecían limpios y no contenían código malicioso evidente. En su lugar, importaban paquetes secundarios donde se almacenaba la verdadera funcionalidad dañina. Si se detectaba o eliminaba un paquete secundario malicioso, se reemplazaba rápidamente.

Algunos de los paquetes de primera capa identificados en la campaña incluyeron:

@solana-launchpad/sdk
@meme-sdk/trade
@validate-ethereum-address/core
@solmasterv3/solana-metadatos-sdk
@pumpfun-ipfs/sdk
@solana-ipfs/sdk

Estos paquetes afirmaban ofrecer funciones relacionadas con las criptomonedas e incluían numerosas dependencias de confianza, como axios y bn.js, lo que les confería una apariencia de legitimidad. Sin embargo, entre esas bibliotecas de confianza se ocultaban algunas dependencias maliciosas.

Técnicas de sigilo utilizadas por los atacantes

Los ciberdelincuentes utilizaron varios métodos para reducir la sospecha y aumentar su persistencia:

• Crear versiones maliciosas de funciones que ya se encuentran en bibliotecas populares legítimas.
• Utilizar nombres y descripciones de paquetes con typosquatting que se parecían mucho a herramientas de confianza.
• Dividir el malware en un cargador de apariencia inofensiva y una carga útil de segunda etapa.
• Paquetes secundarios que giran, se retiran o se detectan rápidamente

El primer paquete conocido vinculado a la campaña, '@hash-validator/v2', se subió en septiembre de 2025.

Expansión más allá de npm y la evolución del malware

Meses después, los investigadores detectaron indicios de esta actividad, confirmando el uso de dependencias transitivas para ejecutar código malicioso en las máquinas de los desarrolladores y robar datos valiosos. Posteriormente, la campaña se extendió al Índice de Paquetes de Python mediante un paquete malicioso llamado scraper-npm, subido en febrero de 2026 con una funcionalidad similar.

Según se informa, las versiones más recientes de la operación establecieron un acceso remoto persistente a través de SSH y utilizaron cargas útiles compiladas en Rust para robar proyectos completos de código fuente y propiedad intelectual de los sistemas infectados.

De ladrón básico a amenaza multiplataforma

Las primeras versiones del malware eran programas ofuscados que robaban código JavaScript y buscaban recursivamente archivos .env y .json en los directorios de trabajo antes de prepararlos para su exfiltración a un dominio alojado en Vercel, previamente vinculado a la actividad de Famous Chollima.

Las versiones posteriores integraron PromptMink como una aplicación ejecutable única de Node.js. Sin embargo, esto aumentó el tamaño de la carga útil de aproximadamente 5,1 KB a casi 85 MB, lo que hizo que la distribución fuera menos eficiente. Para superar esta limitación, según se informa, los atacantes optaron por NAPI-RS, que permite el uso de complementos precompilados de Node.js escritos en Rust.

Riesgo creciente para la cadena de suministro de código abierto

La evolución de la campaña, desde un simple programa de robo de información hasta una familia de malware multiplataforma especializada que ataca a Windows, Linux y macOS, demuestra un aumento significativo en sus capacidades. Sus funciones ahora incluyen el robo de credenciales, la instalación de puertas traseras SSH y el robo de proyectos de desarrollo completos.

Los investigadores concluyeron que Famous Chollima combina código generado por IA con métodos de entrega de paquetes por capas para evadir la detección y manipular a los asistentes de codificación automatizados de manera más efectiva que los desarrolladores humanos.