Investigadores han detectado varios paquetes maliciosos publicados en el registro de npm que se hacen pasar por utilidades del ecosistema PostCSS, una de las herramientas de transformación de CSS más instaladas del mundo. El objetivo: que un desarrollador desprevenido los añada como dependencia y ejecute el código del atacante en su propia estación de trabajo.

El patrón es el habitual del typosquatting y la suplantación de marca: nombres casi idénticos a los de proyectos legítimos, descripciones copiadas y un postinstall que descarga y lanza la siguiente fase. La carga final es un troyano de acceso remoto (RAT) para Windows que da al operador control interactivo sobre el equipo comprometido.

El riesgo no se queda en la máquina del desarrollador. Una estación de desarrollo comprometida es una puerta directa a repositorios privados, tokens de CI/CD, claves cloud y, por extensión, a la cadena de build de producción. Por eso los ataques a dependencias de npm se han convertido en una vía predilecta para el acceso inicial.

La recomendación operativa es clara: fija versiones, audita dependencias nuevas antes de instalarlas, desactiva la ejecución automática de scripts postinstall cuando sea viable y vigila las conexiones salientes anómalas desde equipos de desarrollo.

¿Estás cubierto en DefensOps?

DefensOps detecta los TTPs de esta amenaza con reglas premium del motor de detección:

  • Regla 111005 — PowerShell ofuscado / encoded command (T1059.001) · plan Professional

Técnicas MITRE ATT&CK cubiertas: T1059.001

Plan mínimo: Professional

Solicita una demo de DefensOps y comprueba en minutos qué visibilidad tendrías sobre una campaña como esta.

Fuente primaria: https://thehackernews.com/2026/06/malicious-npm-packages-pose-as-postcss.html