Expediente mastra-npm-sapphire-sleetCadena de suministro de IAGlobal
Sapphire Sleet secuestra cuenta de mantenedor para troyanizar más de 140 paquetes npm de Mastra AI
Los atacantes tomaron el control del mantenedor de npm 'ehindero' y publicaron actualizaciones en más de 140 paquetes @mastra añadiendo la dependencia con typosquatting easy-day-js, cuyo dropper postinstall descargaba un infostealer multiplataforma que buscaba 166 extensiones de billeteras.
CríticaAtaque a la IAEstado: ContenidoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 17 jun 2026
- Ubicación
- Global
- Objetivo
- Desarrolladores que usan el framework de agentes de IA @mastra
- Gravedad
- Crítica
- Provocado por
- Sapphire Sleet (BlueNoroff)
- Tipo de actor
- Patrocinado por un Estado
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Los atacantes tomaron el control del mantenedor de npm 'ehindero' y publicaron actualizaciones en más de 140 paquetes @mastra añadiendo la dependencia con typosquatting easy-day-js, cuyo dropper postinstall descargaba un infostealer multiplataforma que buscaba 166 extensiones de billeteras.
Impacto: Más de 140 paquetes envenenados; el stealer recopilaba datos del host, historiales de navegador y datos de extensiones de billeteras en Windows, macOS y Linux con persistencia; número de víctimas no divulgado
Quién lo provocó
Actor: Sapphire Sleet (BlueNoroff)
Atribución: Microsoft evaluó con alta confianza que la puerta trasera en PowerShell, las técnicas y la infraestructura C2 coinciden con Sapphire Sleet, un actor norcoreano también detrás del ataque a Axios en npm de abril de 2026
Motivo: Robo de credenciales, claves de API, tokens y billeteras de criptomonedas para generar ingresos
Cómo ocurrió
Vector de ataque: Cuenta de mantenedor secuestrada que publica versiones maliciosas; el hook postinstall desactivaba la verificación TLS y ejecutaba un dropper ofuscado que lanzaba un stealer oculto de segunda etapa
Causa raíz: Una sola cuenta de mantenedor con derechos de publicación sobre todo el ámbito del paquete y sin protecciones adicionales de publicación
Cronología
- Microsoft revela el compromiso de Mastra en npm
- Una actualización de Microsoft atribuye la actividad a Sapphire Sleet
- BleepingComputer reporta puertas traseras de PowerShell posteriores y servicios a nivel SYSTEM en los hosts contactados
Respuesta
Microsoft publicó análisis y atribución; la remediación por parte de npm y Mastra no se detalló en los reportes
Estado actual: Contenido
Fuentes (pestaña nueva)
- BleepingComputer bleepingcomputer.com
- BleepingComputer npm tag bleepingcomputer.com
Citar este expediente
Sapphire Sleet secuestra cuenta de mantenedor para troyanizar más de 140 paquetes npm de Mastra AI. AI Threat Watch, expediente mastra-npm-sapphire-sleet, 17 jun 2026. https://aithreat.io/es/cases/mastra-npm-sapphire-sleet/
Enlace permanente: https://aithreat.io/es/cases/mastra-npm-sapphire-sleet/