Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Paquetes npm activan scripts de instalación y descargas maliciosas.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

The Hacker News atribuye a CloudSEK y Checkmarx la identificación de MALFEX: un mismo operador habría publicado doce paquetes npm desde agosto de 2023, ocho de ellos clasificados como maliciosos.

Tres paquetes, tlxbnhd, tldriver y mxdriver, activan mediante hooks de instalación la descarga y ejecución de un ejecutable de Windows que carga Overlord RAT.

Otra cadena usa img-to-native y cdn-img-fetch para ejecutar un programa Go que obtiene un ladrón de datos Node.js dirigido a navegadores, Discord, Telegram y carteras de criptomonedas.

function-flag contiene un hook postinstall que descarga una carga remota; function-color incorpora a function-flag como dependencia aunque no incluya una carga propia.

Según la cobertura, los ocho paquetes sumaban 40.767 descargas, de las que 37.419 correspondían a function-flag; esa cifra mide descargas y no equipos comprometidos.

La lista publicada marca function-flag, function-color y cdn-img-fetch como todavía disponibles en el momento de la investigación.

Análisis de Defensops

El riesgo nace en el proceso habitual de instalar dependencias: un script de ciclo de vida puede ejecutarse antes de que el equipo revise o utilice el paquete. Además, una dependencia aparentemente inocua puede activar otra que contenga el código dañino. Por eso, revisar solo los nombres declarados directamente por un proyecto dejaría fuera parte de la cadena descrita.

La exposición concreta depende de los registros de instalación y de la plataforma usada. La fuente describe cargas orientadas a Windows, pero no demuestra que todas las descargas hayan llegado a un equipo Windows ni que cada instalación haya ejecutado con éxito una carga. El volumen de descargas sirve para priorizar la búsqueda, no para contar incidentes o víctimas.

La coexistencia de varias rutas de carga obliga a distinguir qué paquete se instaló antes de inferir consecuencias. La presencia de los nombres en un proyecto requiere analizar el árbol de dependencias, los scripts ejecutados y las conexiones posteriores. La atribución a un operador es una evaluación de los investigadores citados por The Hacker News, no una constatación independiente de Defensops.

Prioridades de revisión

Revisar de inmediato los manifiestos, archivos de bloqueo y registros de instalación de proyectos y equipos Windows en busca de los ocho nombres publicados; incluir dependencias transitivas y conservar la evidencia de versión y fecha.

Si aparece una instalación, aislar el equipo afectado mientras se comprueba si se ejecutaron hooks de instalación, procesos descargados o conexiones externas; tratar las credenciales presentes en ese entorno como potencialmente expuestas hasta completar la revisión.

Bloquear temporalmente la incorporación de esos paquetes en los flujos de instalación y documentar las excepciones verificadas; contrastar el estado actual del registro antes de dar por retirados los tres que la investigación marcó como disponibles.

Examinar los registros del entorno de desarrollo y de integración continua para determinar qué proyectos instalaron esos paquetes y si el mismo conjunto de dependencias se reutilizó en otros equipos.

Qué no se ha confirmado

La fuente no determina cuántas descargas acabaron en instalaciones con ejecución efectiva de la carga.

La disponibilidad actual de los tres paquetes señalados debe confirmarse en npm; la cobertura refleja el estado observado por los investigadores.

No se identifican organizaciones afectadas ni un alcance geográfico verificable.

Fuente

The Hacker News. Fecha indicada: 2026-10-07.