Paquete malicioso de npm.

Paquete de npm que contiene codigo oculto para robar datos, instalar malware o comprometer aplicaciones que lo incluyan al instalarse. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Paquete de npm que contiene codigo oculto para robar datos, instalar malware o comprometer aplicaciones que lo incluyan al instalarse.

Un paquete malicioso de npm aprovecha la confianza de los desarrolladores en el registro publico. Los atacantes publican paquetes nuevos, secuestran proyectos abandonados o comprometen cuentas de mantenedores para subir versiones contaminadas de bibliotecas muy usadas. Cargas habituales: robo de credenciales y tokens, drenaje de wallets de criptomonedas y droppers que se ejecutan en la instalacion mediante scripts de ciclo de vida. Casos notorios: event-stream (2018), donde un nuevo mantenedor inyecto un ladron de wallets Copay, y ua-parser-js (2021), cuyas versiones comprometidas instalaron miners y robaderos de contrasenas en millones de equipos. Defensas: lockfiles, --ignore-scripts, 2FA para mantenedores, SBOMs, escaneres de dependencias y atestaciones de procedencia.

Las defensas contra Paquete malicioso de npm combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Paquete contaminado, Liberacion npm maliciosa.