Varios paquetes oficiales de SAP publicados en el repositorio npm han sido comprometidos en lo que los investigadores consideran un ciberataque de cadena de suministro vinculado, con una confianza moderada, al grupo TeamPCP. El objetivo es claro: robar credenciales y tokens de autenticación tanto de desarrolladores como de entornos automatizados.
El ataque afecta directamente a herramientas ampliamente utilizadas en entornos corporativos. Entre los paquetes comprometidos se encuentran versiones concretas de @cap-js/sqlite, @cap-js/postgres, @cap-js/db-service y mbt, todos ellos vinculados al modelo de programación en la nube de SAP. Estos componentes forman parte del ecosistema de desarrollo basado en SAP Cloud Application Programming Model, una plataforma para la creación de aplicaciones empresariales modernas.
Un ataque silencioso durante la instalación
La sofisticación del ataque radica en su capacidad para ejecutarse de forma automática sin levantar sospechas. Según los análisis de firmas como Aikido Security y Socket, los paquetes fueron modificados para incluir un script malicioso en la fase de preinstalación.
Este tipo de script se ejecuta automáticamente cuando el desarrollador instala el paquete mediante npm. En este caso, el código lanza un archivo denominado setup.mjs, que descarga desde GitHub el entorno de ejecución Bun y lo utiliza para ejecutar una carga útil altamente ofuscada.
El resultado es la activación de un infostealer, un malware especializado en el robo de información sensible. La víctima no percibe ningún comportamiento anómalo mientras el sistema comienza a filtrar datos críticos.
Robo masivo de credenciales en entornos críticos
El alcance del robo es especialmente preocupante. El malware está diseñado para extraer credenciales de múltiples fuentes, incluyendo:
- Tokens de autenticación de npm y GitHub
- Claves SSH y credenciales de desarrolladores
- Accesos a servicios en la nube como AWS, Azure y Google Cloud
- Configuraciones y secretos de Kubernetes
- Variables sensibles de entornos CI/CD
Este último punto es especialmente crítico. Los entornos de integración y despliegue continuo son el corazón de los procesos DevOps modernos, y comprometerlos permite a los atacantes acceder a toda la cadena de desarrollo.
Además, el malware implementa técnicas avanzadas de extracción directa de memoria en los sistemas de ejecución. En concreto, analiza procesos internos del runner para localizar secretos sin pasar por los mecanismos habituales de registro o enmascaramiento.
Técnicas avanzadas para evadir defensas
Uno de los aspectos más sofisticados del ataque es el uso de técnicas de exfiltración poco convencionales. Una vez recopilados los datos, estos se cifran y se suben a repositorios públicos de GitHub bajo la propia cuenta de la víctima.
Estos repositorios incluyen descripciones como “A Mini Shai-Hulud has Appeared”, una firma que recuerda a ataques anteriores atribuidos al mismo grupo. Este patrón refuerza la hipótesis de que TeamPCP está detrás de la operación.
Pero el ataque no se detiene ahí. Los investigadores han identificado el uso de GitHub como mecanismo de comunicación encubierta. El malware busca en commits públicos cadenas específicas que contienen tokens codificados en base64.
Este método, conocido como dead drop, permite a los atacantes recuperar credenciales sin necesidad de servidores de mando y control tradicionales, dificultando su detección.
Capacidad de propagación automática
Siguiendo la lógica de otros ataques recientes, el código malicioso también incluye funciones de autopropagación. Utilizando las credenciales robadas, intenta acceder a otros repositorios o paquetes npm y modificar su contenido para insertar el mismo malware.
Este comportamiento convierte el incidente en una amenaza expansiva, capaz de comprometer progresivamente más proyectos dentro del ecosistema de desarrollo.
El patrón coincide con campañas anteriores dirigidas contra herramientas como Trivy, Checkmarx o Bitwarden, lo que refuerza la atribución a TeamPCP.
Posible origen del compromiso
Por el momento, no está claro cómo se produjo la intrusión inicial en el proceso de publicación de paquetes de SAP. Sin embargo, algunas hipótesis apuntan a la posible exposición de un token de npm debido a una mala configuración en pipelines de integración continua, como los gestionados por CircleCI.
Este tipo de errores operativos son una de las principales puertas de entrada en ataques de cadena de suministro. Una vez comprometido el proceso de publicación, los atacantes pueden insertar código malicioso en versiones aparentemente legítimas.
SAP no ha emitido una respuesta oficial en el momento de la publicación, lo que añade incertidumbre sobre el alcance real del incidente.
