Gut getarnt: Automatisch startender Wurm bei GitHub ist schwer zu finden

Investigadores de seguridad han detectado una sofisticada campaña de malware que utiliza repositorios de GitHub para propagarse. El ataque, vinculado a variantes de 'Shai-Hulud', logra ejecutarse automáticamente cuando los desarrolladores utilizan asistentes de inteligencia artificial (IA) o entornos de desarrollo integrados (IDE) para trabajar en proyectos infectados.

El mecanismo de infección es altamente efectivo: al abrir proyectos con configuraciones manipuladas en herramientas como Claude Code, Gemini, Cursor o Visual Studio Code, se activa un archivo oculto (como .github/init.js) que descarga y ejecuta el código de ataque. Los atacantes han logrado comprometer decenas de repositorios, incluyendo proyectos de Microsoft (Azure, MicrosoftDocs), mediante el uso de cuentas de desarrolladores robadas y commits que parecen antiguos para evitar ser detectados.

El objetivo principal de este gusano es el robo de información sensible, incluyendo tokens de GitHub y npm, claves de acceso a nubes como AWS, Azure y Google Cloud, configuraciones de Kubernetes, llaves SSH y datos almacenados en gestores de contraseñas como 1Password. Además, se ha reportado que el malware puede instalar un 'wiper' (un programa diseñado para borrar datos) que elimina el directorio principal del usuario si este intenta revocar los tokens robados.

Se han identificado múltiples paquetes maliciosos en los ecosistemas npm y PyPI. En algunos casos, el código está oculto mediante técnicas de cifrado que solo se desencriptan al ejecutarse, lo que dificulta su detección por parte de las herramientas de búsqueda estándar de GitHub.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza desarrolladores o servicios en la nube, el riesgo es alto. Revise de inmediato que sus equipos no estén usando herramientas de IA (como Cursor o extensiones de VS Code) para trabajar en repositorios de código de terceros sin previa auditoría. Si sospecha de una infección, no solo cambie la contraseña; debe revocar todos los tokens de acceso (GitHub, AWS, Azure) y, de ser posible, reconstruir el entorno de trabajo desde una fuente confiable, ya que el malware puede borrar sus archivos locales como represalia.