Detectan ataques que roban secretos de desarrolladores mediante paquetes maliciosos de Rust e IA
Investigadores de ciberseguridad han descubierto dos campañas maliciosas dirigidas a robar información sensible de desarrolladores de software. En un incidente, se identificaron cinco paquetes (o "crates") del lenguaje de programación Rust que sustraían archivos .env con credenciales. En otro, un bot con inteligencia artificial (IA) explotó fallos en sistemas de integración continua (CI/CD) para acceder a información confidencial.
Paquetes de Rust disfrazados de utilidades de tiempo
Los cinco paquetes de Rust maliciosos se hacían pasar por herramientas relacionadas con el manejo del tiempo. Su objetivo era robar el contenido de los archivos .env, que suelen contener claves API, tokens y otra información sensible. Estos archivos son utilizados por los desarrolladores para almacenar datos de configuración de sus aplicaciones.
- Los paquetes se publicaron en crates.io, el registro de paquetes de Rust.
- Tenían nombres que simulaban ser utilidades para trabajar con el tiempo: chrono_anchor, dnp3times, time_calibrator, time_calibrators y time-sync.
- Uno de los paquetes, "chrono_anchor", usaba técnicas para ocultar su actividad maliciosa y evitar ser detectado.
- Cada vez que un desarrollador usaba el código malicioso en un proceso de Integración Continua (CI), el paquete intentaba robar los secretos del archivo .env.
Bot con IA ataca flujos de trabajo de GitHub Actions
En el segundo ataque, un bot impulsado por inteligencia artificial, llamado hackerbot-claw, exploró repositorios de código público en busca de configuraciones vulnerables en GitHub Actions. GitHub Actions es una herramienta para automatizar tareas dentro de los repositorios de código.
El ataque funcionaba así:
- El bot buscaba repositorios con flujos de trabajo de CI/CD mal configurados.
- Creaba una copia (fork) del repositorio objetivo y añadía código malicioso.
- Abría una solicitud de cambios (pull request) con una modificación trivial, ocultando el código malicioso en el nombre de la rama, nombre del archivo o en un script de CI.
- Al aprobarse la solicitud de cambios, se activaba el flujo de trabajo de CI/CD, ejecutando el código malicioso en el servidor de compilación, lo que permitía robar secretos y tokens de acceso.
Uno de los objetivos de este ataque fue el repositorio "aquasecurity/trivy", un escáner de seguridad de Aqua Security. El bot logró robar un token de acceso personal (PAT) y usarlo para comprometer el repositorio. El atacante incluso llegó a publicar una versión maliciosa de la extensión de Visual Studio Code (VS Code) de Trivy en el registro Open VSX (CVE-2026-28353). Esta extensión fraudulenta utilizaba agentes de codificación con IA para recolectar y enviar información sensible a un repositorio GitHub controlado por el atacante.
A quién afecta
Estos ataques afectan a desarrolladores de software que utilizan los lenguajes Rust y que trabajan con sistemas de integración continua (CI/CD) como GitHub Actions. También afecta a los usuarios de extensiones de VS Code, especialmente aquellos que han instalado la versión maliciosa de la extensión de Trivy.
Qué significa esto para ti
Si eres desarrollador, es crucial revisar tus dependencias de Rust y asegurarte de no haber descargado ninguno de los paquetes maliciosos mencionados. Si utilizas la extensión de VS Code de Trivy, verifica que no tengas instalada la versión 1.8.12 o 1.8.13 desde Open VSX. En caso afirmativo, elimínala inmediatamente, revisa si tienes repositorios inesperados en GitHub y cambia tus secretos y tokens. Audita también tus procesos de CI/CD y limita el acceso de red saliente siempre que sea posible. Esta campaña demuestra que incluso programas maliciosos sencillos pueden tener un gran impacto si se ejecutan dentro de entornos de desarrollo y trabajos de CI.
