TeamPCP ataca paquetes SAP con el ataque “Mini Shai-Hulud”
EquipoPCPLa extensa campaña de la cadena de suministro continuó esta semana cuando el grupo cibercriminal comprometió varios paquetes npm de SAP en un ataque «Mini Shai Hulud».
Los paquetes comprometidos se lanzaron el miércoles y fueron rápidamente descubiertos por varios proveedores de ciberseguridad, incluidos Wiz, Socket y Aikido Security. A cuatro paquetes npm para el modelo de programación de aplicaciones en la nube (CAP) y la herramienta de compilación Cloud MTA (MBT) de SAP se les inyectaron scripts de preinstalación maliciosos que se ejecutan una vez instalada la dependencia.
«La campaña utiliza una carga útil de varias etapas para recopilar secretos de desarrolladores y CI/CD en GitHub, npm y los principales proveedores de nube, y extrae los datos a través de repositorios de GitHub controlados por atacantes», dijeron los investigadores de Wiz en un Publicación de blog. «También contiene código destinado a propagarse a través de tokens comprometidos».
El malware contiene descripciones codificadas de los repositorios controlados por el atacante: «Ha aparecido un Mini Shai-Hulud» es una referencia obvia a esto. Gusano shai-hulud Ataques que tienen paquetes NPM específicos desde septiembre de 2025.
Los investigadores de Wiz y Socket atribuyeron los ataques a SAP a TeamPCP basándose en superposiciones técnicas y similitudes operativas con las campañas anteriores del grupo emergente de cibercrimen. TeamPCP ha comprometido los paquetes de varios proyectos de software de código abierto en los últimos meses, incluido triviaun escáner de seguridad gestionado por Aqua Security, y KICSuna herramienta de análisis de código estático desarrollada por Checkmarx.
Los expertos dicen que apuntar a paquetes de SAP agrega una dimensión diferente a los ataques de TeamPCP y potencialmente aumenta el riesgo para las empresas.
Mini Shai-Hulud sube la apuesta
El equipo de investigación de Socket señaló en una publicación de blog que los cuatro paquetes npm tienen «un alcance significativo en todo el ecosistema de desarrolladores de SAP», con cientos de miles de descargas por semana. Al igual que con ataques anteriores de TeamPCP, las cargas útiles recopilaron credenciales de GitHub, npm, Kubernetes, CI/CD y de la nube, que luego se utilizaron para comprometer repositorios y paquetes adicionales e incluso Violación de organizaciones de clientes posteriores.
Los paquetes envenenados incluyen @cap-js/sqlite – v2.2.2; @cap-js/postgres – v2.2.2; @cap-js/db-service – v2.10.1; y MBT – v1.2.48. Los paquetes CAP están conectados a los flujos de trabajo de implementación en la nube de SAP, mientras que el paquete MBT se utiliza para crear archivos de almacenamiento de aplicaciones multidestino (MTA) listos para usar.
Los paquetes envenenados fueron retirados poco después de su liberación. Dark Reading se puso en contacto con SAP para comentar sobre los ataques, pero la empresa no respondió al cierre de esta edición.
Al dirigirse a un pequeño número de paquetes de software empresarial de alta calidad, la campaña Mini Shai Hulud destaca ataques anteriores a la cadena de suministro. «En lugar de extenderse a través de muchos paquetes aleatorios, este paquete llegó a SAP, donde se podría realizar una instalación exitosa en máquinas de desarrollador o trabajos de CI con acceso a GitHub, npm, nube y secretos de implementación», le dice a Dark Reading Raphael Silva, investigador de Aikido Security. «Así que el número de paquetes es pequeño, pero el valor potencial de cada entorno comprometido puede ser muy alto. Es probable que todavía veamos el impacto total de esta campaña».
Los ataques fueron atribuidos a TeamPCP debido a que se superponen con ataques anteriores del grupo. Los ataques utilizan una carga útil de segunda etapa que finaliza antes de la filtración de datos si el sistema está configurado para el idioma ruso. También utilizan una clave pública RSA compartida para cifrar los datos exfiltrados en campañas anteriores.
Pero la referencia de la campaña a las campañas contra los gusanos Shai-hulud parece ser sólo eso: una referencia y nada más. «Aunque esta operación contiene evidencia de las operaciones de Shai Hulud en el otoño de 2025, no podemos vincularlas definitivamente ni decir que se trata de un actor separado», señalaron los investigadores de Wiz.
Según Silva, una diferencia notable es también que “las oleadas anteriores de Shai Hulud expusieron secretos, mientras que esta campaña cifró los datos robados”. Por lo tanto, no existe una conexión obvia entre TeamPCP y los ataques anteriores del gusano Shai-hulud.
Ampliando el alcance de los ataques a la cadena de suministro
En incidentes anteriores de TeamPCP, los actores de amenazas utilizaron las credenciales y los secretos robados en un paquete comprometido o proyecto de código abierto para obtener acceso a otros paquetes, lo que resultó en una serie de ataques en cascada a la cadena de suministro.
Si bien los investigadores aún no han descubierto de manera concluyente cómo los actores de TeamPCP obtuvieron acceso a los paquetes de SAP, un investigador tiene una teoría. En una publicación en X Ayer, el ingeniero de seguridad Adnan Khan dijo que el probable culpable era un token NPM que quedó expuesto a través de una mala configuración en las compilaciones de solicitudes de extracción en el repositorio de herramientas de compilación SAP/Cloud MTA. CírculoCI.
Silva respondió en un Publicación de blog ayer que la teoría de Khan es consistente con la evidencia técnica encontrada por el equipo de investigación de Aikido que investiga el repositorio. Pero Silva le dice a Dark Reading que la ficha expuesta puede no ser el único culpable.
«Sigo pensando que la configuración mal configurada de CircleCI es el indicador más fuerte del robo inicial de credenciales 'mbt', pero probablemente no sea la única causa de todo el incidente de SAP», afirma. «Estos ataques tienden a ser más complejos. Sin embargo, el patrón general sigue siendo el mismo: robar las credenciales que pueden publicar software y luego utilizar la cadena de suministro para llegar al siguiente grupo de víctimas».
Socket informó hoy que dos ataques adicionales a la cadena de suministro afectaron al paquete Lightning PyPI Paquete npm de Intercom utilizando las mismas herramientas y artesanía que la campaña Mini Shai Hulud. «La carga útil de JavaScript ofuscada comparte muchas similitudes con los ataques Shai-Hulud, superponiéndose en tokens específicos, credenciales y métodos de ofuscación», dijeron los investigadores de Socket en un Publicación de blog al compromiso del paquete Lightning-PyPi.
Independientemente de cómo se logró el acceso inicial a los paquetes de SAP, la campaña de Mini Shai Hulud muestra que TeamPCP es una amenaza creciente para la cadena de suministro de software, dejando más víctimas (y datos robados altamente confidenciales) a su paso.
En su publicación de blog, Silva instó a las empresas a escanear sus archivos de bloqueo, cachés de paquetes, registros de CI, registros internos, almacenes de artefactos y sistemas de desarrollo en busca de signos de paquetes SAP envenenados, scripts maliciosos y cargas útiles.
«Si se ha instalado un paquete afectado, rote los secretos. No limite la rotación a los tokens NPM», escribió. «La carga útil está dirigida a GitHub, npm, proveedores de nube, Kubernetes, secretos de CI y herramientas de desarrollo local».
No te pierdas el último podcast de Dark Reading Confidential. El jefe de la NSA durante el asunto Snowden expresa su pesar y sus pensamientos 13 años después, para una conversación sincera con Chris Inglis, el principal director civil de la NSA durante el asunto Edward Snowden. Inglis considera qué debería haber hecho mejor la NSA, qué cree que los CISO deberían saber sobre cómo protegerse de sus propias amenazas internas y cómo reaccionaría si Snowden fuera indultado. ¡Escuche ahora!
Nos llegó este contenido de ciberseguridad de: DarkReading
Llegarás a la noticia original en el siguiente enlace: https://www.darkreading.com/cloud-security/teampcp-sap-packages-mini-shai-hulud
