Kaspersky revis\u00f3 42 millones de versiones y detect\u00f3 14 mil amenazas en herramientas usadas por desarrolladores en todo el mundo.<\/p>\n\n\n\n
Kaspersky inform\u00f3 que, al cierre de 2024, se detectaron un total de 14 mil paquetes maliciosos en proyectos de c\u00f3digo abierto, lo que representa un incremento del 50\u202f% frente al cierre de 2023. A lo largo de 2024, la compa\u00f1\u00eda examin\u00f3 42 millones de versiones de paquetes de c\u00f3digo abierto en busca de vulnerabilidades.<\/p>\n\n\n\n
El software de c\u00f3digo abierto es aquel que cualquier persona puede ver, modificar y mejorar. Muchas de las herramientas m\u00e1s utilizadas por los desarrolladores para crear aplicaciones \u2014como GoMod, Maven, NuGet, npm o PyPI\u2014 hacen parte de este ecosistema. Estas plataformas les permiten encontrar y usar fragmentos de c\u00f3digo ya listos, lo que hace m\u00e1s f\u00e1cil y r\u00e1pido el desarrollo de nuevos programas. Sin embargo, su popularidad tambi\u00e9n ha sido aprovechada por los ciberdelincuentes para esconder amenazas dentro de estos archivos.<\/p>\n\n\n\n
En marzo de 2025, el grupo de cibercriminales Lazarus public\u00f3 archivos maliciosos en la plataforma npm, muy usada por desarrolladores. Estos archivos fueron descargados varias veces antes de ser eliminados, y conten\u00edan programas dise\u00f1ados para robar contrase\u00f1as, datos de billeteras digitales y abrir accesos ocultos en los sistemas. El ataque parec\u00eda leg\u00edtimo porque usaba enlaces de GitHub, una plataforma confiable para compartir c\u00f3digo. Seg\u00fan Kaspersky, estos archivos tambi\u00e9n pudieron haber sido usados en p\u00e1ginas web, aplicaciones financieras y programas empresariales, lo que representa un alto riesgo de robo de informaci\u00f3n y p\u00e9rdidas econ\u00f3micas.<\/p>\n\n\n\n
En 2024, se descubri\u00f3 una puerta trasera en las versiones 5.6.0 y 5.6.1 de XZ Utils, una herramienta muy usada en sistemas basados en Linux. El c\u00f3digo malicioso fue insertado por un colaborador de confianza y permit\u00eda tomar control remoto de servidores mediante SSH. Aunque el ataque fue detectado antes de que pudiera extenderse, gracias a fallos en el rendimiento del sistema, dej\u00f3 en evidencia los riesgos de manipular herramientas clave en la cadena de suministro de software. XZ Utils es esencial para el funcionamiento de sistemas operativos, servidores en la nube y dispositivos conectados, por lo que esta amenaza representaba un peligro real para infraestructuras cr\u00edticas y redes empresariales.<\/p>\n\n\n\n
Ese mismo a\u00f1o, el equipo de expertos de Kaspersky (GReAT) descubri\u00f3 que ciberdelincuentes hab\u00edan subido archivos maliciosos con nombres como chatgpt-python y chatgpt-wrapper a PyPI, una plataforma donde los desarrolladores buscan herramientas para programar. Estos archivos imitaban herramientas leg\u00edtimas para trabajar con ChatGPT, pero en realidad estaban dise\u00f1ados para robar contrase\u00f1as e instalar accesos ocultos. Aprovechaban el auge del desarrollo en inteligencia artificial para enga\u00f1ar a los usuarios. De haberse integrado en proyectos reales, estos archivos pudieron haber comprometido aplicaciones de IA, chatbots y plataformas de an\u00e1lisis de datos, poniendo en riesgo informaci\u00f3n sensible y procesos clave.<\/p>\n\n\n\n
\u201cEl software de c\u00f3digo abierto es la base de muchas de las tecnolog\u00edas que usamos todos los d\u00edas. Pero esa apertura, que lo hace tan \u00fatil, tambi\u00e9n lo vuelve vulnerable. El aumento del 50\u202f% en paquetes maliciosos que vimos en 2024 demuestra que los ciberdelincuentes est\u00e1n aprovechando esta confianza para esconder amenazas dentro de herramientas ampliamente utilizadas. Si una sola de estas herramientas est\u00e1 comprometida, el impacto puede extenderse r\u00e1pidamente a miles de empresas o usuarios. Por eso, es urgente que las organizaciones revisen con cuidado los componentes que usan y fortalezcan sus mecanismos de seguridad antes de que ocurra un incidente de gran escala como el caso de XZ Utils\u201d, afirma Fabio Assolini, Director del Equipo de Investigaci\u00f3n y An\u00e1lisis para Am\u00e9rica Latina en Kaspersky.<\/p>\n\n\n\n
Para evitar estas vulnerabilidades, los expertos de Kaspersky recomiendan:<\/p>\n\n\n\n
Verificar la reputaci\u00f3n de los paquetes utilizados: Aseg\u00farese de que los archivos provengan de desarrolladores o comunidades confiables. Revise el historial de versiones, la documentaci\u00f3n disponible y la actividad reciente en el sistema de reportes.<\/p>\n\n\n\n
Mantenerse informado sobre amenazas emergentes: Suscribirse a boletines y alertas de seguridad relacionadas con el ecosistema de c\u00f3digo abierto permite identificar riesgos de manera temprana y reaccionar a tiempo.<\/p>\n\n\n\n
Monitorear los componentes usados en sus sistemas: Contar con herramientas<\/a> que analicen los archivos de c\u00f3digo abierto permite detectar amenazas ocultas antes de que causen da\u00f1os.<\/p>\n\n\n\n Ante sospechas de compromiso, realizar una evaluaci\u00f3n especializada: Si cree que su infraestructura puede haber sido vulnerada, Kaspersky recomienda utilizar su servicio de Compromise Assessment<\/a> para identificar ataques en curso o pasados.<\/p>\n\n\n\n