Malware PhantomRaven, creado con LLM, se infiltra a través de npm
Un atacante de bounty claims ha usado un modelo de lenguaje grande para desarrollar un stealer JS que se esconde tras paquetes typosquatting en npm.
PhantomRaven es un informador JS que se distribuye a través de más de cien paquetes maliciosos en npm, subidos por un supuesto hunter de bug bounty. CrowdStrike concluyó que el código fue escrito con un LLM, basándose en comentarios extensos, código placeholder y patrones de token.
El ataque se basa en una campaña de slopsquatting y typosquatting: los paquetes son idénticos o muy parecidos a nombres legítimos, y cada uno incluye un pre‑install script que descarga una dependencia dinámica remota (RDD). La RDD contiene el propio malware, que escanea el entorno del desarrollador buscando correos, credenciales de CI/CD, variables de GitHub Actions, GitLab CI, Jenkins y CircleCI, además de la IP pública y la hora actual. Los datos se envían a un servidor controlado por el atacante.
CrowdStrike identificó al actor como activo desde noviembre de 2022, con al menos nueve recompensas en bug bounty de sectores tecnológicos, minoristas y de hostelería. A diferencia de otros actores que venden sus stealers en mercados de malware, aquí no se han visto datos robados en los logs de stealer, lo que sugiere que el objetivo es usar la información para reclamar recompensas.
El actor ha mantenido varios usuarios npm (jpdhellonpm1, jpd15, jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11, packagedharsh) que han publicado paquetes con PhantomRaven. Los usuarios ya no están activos. En agosto de 2025 el actor afirmó haber descubierto una vulnerabilidad RCE en un paquete npm, ejecutando un script preinstall que le permitiría controlar la máquina.
Además, hay evidencia de intentos de publicar un stealer similar en PyPI, lo que indica que el actor intenta expandir su alcance a otras plataformas.
El uso de un LLM reduce el tiempo de desarrollo y permite al atacante generar código sofisticado sin necesidad de escribir manualmente cada línea. CrowdStrike subrayó que, aunque la mayoría de los criminales usan herramientas comerciales o desarrollan malware propio, este actor combinó la generación automática con la explotación de paquetes para ganar recompensas.
Para los equipos de DevOps, la lección es clara: revisen los paquetes que instalan, especialmente aquellos que aparecen en campañas de typosquatting. El análisis de código fuente, la detección de comentarios sospechosos y la inspección de scripts de pre‑install son pasos críticos para evitar la instalación de un RDD.
La investigación sigue en curso y CrowdStrike continúa rastreando la actividad del actor a través de sus cuentas de npm y su presencia en otras plataformas de código abierto.
