MagnoSec Blog
TrapDoor: La Campaña que Ataca Simultáneamente npm, PyPI y Crates.io para Robar Wallets, Claves SSH y Secretos Cloud
El contexto: qué ha pasado y por qué importa
La simultaneidad es una señal de profesionalización. Cuando una campaña de malware ataca tres ecosistemas de paquetes distintos —npm para JavaScript, PyPI para Python y Crates.io para Rust— de forma coordinada y con payloads adaptados a cada plataforma, el mensaje es claro: no estamos ante un actor oportunista, sino ante un grupo que ha estudiado el ecosistema de desarrollo moderno y sabe exactamente dónde residen los secretos que busca. TrapDoor, documentada por analistas de seguridad durante la última semana de mayo de 2026, es precisamente ese tipo de operación. Los atacantes han publicado paquetes maliciosos en los tres registros, camuflados como librerías legítimas para desarrolladores de criptomonedas, inteligencia artificial y herramientas de automatización. El payload, adaptado a cada plataforma, busca secretos en el entorno del desarrollador con una precisión que sugiere un conocimiento profundo de los flujos de trabajo de la ingeniería de software moderna.
Antecedentes y evolución de la amenaza
El vector de entrada sigue el patrón clásico de la cadena de suministro: nombres que imitan paquetes populares con errores tipográficos (typosquatting), descripciones convincentes y, en algunos casos, funcionalidad real para evitar sospechas. Pero TrapDoor añade una capa adicional de sofisticación: los paquetes incluyen scripts de instalación y post-instalación que solo activan el comportamiento malicioso después de verificar que el entorno de desarrollo contiene herramientas específicas —wallets de criptomonedas, claves SSH configuradas, tokens de GitHub en variables de entorno, archivos de configuración de AWS y Azure—. Si el entorno no cumple los criterios, el malware permanece inactivo, reduciendo drásticamente la probabilidad de detección por sandboxing automático. Solo cuando confirma que la víctima tiene secretos de alto valor, despliega su arsenal completo.
Así funciona: los detalles técnicos
El payload multi-plataforma de TrapDoor demuestra un entendimiento sofisticado del ecosistema de desarrollo actual. En npm, el malware se ejecuta mediante scripts de post-install que enumeran el sistema de archivos en busca de archivos .npmrc, .gitconfig, .env y configuraciones de servicios cloud. En PyPI, utiliza la capacidad de ejecución de código durante la instalación del paquete para inspeccionar el historial de comandos de shell y los archivos de configuración de Git. En Crates.io, el build.rs —el script de compilación que se ejecuta antes de compilar el código Rust— actúa como punto de entrada para el malware, una técnica particularmente insidiosa porque los scripts de build rara vez son auditados por los desarrolladores. En todos los casos, los secretos cosechados se exfiltran a servidores de comando y control que utilizan infraestructura rotatoria para evadir bloqueos.
Impacto real en organizaciones y empresas
El targeting de TrapDoor hacia desarrolladores de criptomonedas, IA y herramientas de desarrollo no es casual. Los desarrolladores de cripto manejan claves privadas y seeds de wallets cuyo compromiso equivale a una transferencia directa de fondos. Los desarrolladores de IA trabajan con datasets, modelos entrenados y claves de API de servicios cloud con costes computacionales masivos. Y los desarrolladores de herramientas tienen credenciales de publicación en registros de paquetes —npm, PyPI, Crates.io— que permitirían a un atacante propagar el malware aún más lejos, comprometiendo a su vez a los usuarios de sus librerías. Es un targeting pensado para maximizar tanto el beneficio directo como la capacidad de propagación. Un solo desarrollador comprometido puede ser la llave para infectar a miles de usuarios finales de sus paquetes.
Cómo MagnoSec aborda esta amenaza en sus auditorías
La respuesta de los registros de paquetes ha sido la esperada: retirada de los paquetes maliciosos una vez reportados. Pero la velocidad de los atacantes supera con creces la de los equipos de seguridad de los registros. Los paquetes maliciosos de TrapDoor estuvieron disponibles durante días antes de ser detectados, tiempo más que suficiente para comprometer a decenas o cientos de desarrolladores. La lección estructural no es sobre este atacante concreto, sino sobre el modelo de confianza de los ecosistemas de paquetes: depositar en los registros la responsabilidad exclusiva de detectar malware es una estrategia fallida. La verificación debe ocurrir antes de la instalación, en el entorno del desarrollador y en los pipelines de CI/CD.
Qué puedes hacer ahora: acciones concretas
En MagnoSec analizamos la exposición a ataques a la cadena de suministro de software desde una perspectiva integral. No solo revisamos qué dependencias tiene un proyecto, sino qué permisos tienen esas dependencias en el entorno de desarrollo, qué scripts se ejecutan durante la instalación, y qué acceso tendría un atacante que comprometiese cualquiera de esos paquetes a los secretos y sistemas de la organización. Implementamos controles que incluyen la revisión automatizada de scripts de post-instalación, la limitación de permisos de red durante la instalación de dependencias, y la verificación de integridad de paquetes mediante hashes comprometidos en el repositorio. TrapDoor demuestra que los atacantes ya son multi-ecosistema: la defensa también tiene que serlo.
Temas tratados
TrapDoor · supply chain · npm · PyPI · Crates.io · malware · Rust · Python · JavaScript · credenciales
Servicios relacionados
MagnoSec
Auditoría de Código Fuente
Auditoría de código de aplicaciones: revisión manual (code review) y SAST para detectar vulnerabilidades OWASP/CWE en cualquier lenguaje. Alcance y precio.
MagnoSec
Pentesting Web y Hacking Ético
Pentesting web y hacking ético de aplicaciones y APIs según OWASP WSTG. Detectamos SQL Injection, XSS y fallos de autenticación. Informe con CVSS y remediación.
MagnoSec
Auditoría de Infraestructura
Auditoría de infraestructura tecnológica: redes internas y externas, servidores y firewalls. Hallazgos con CVSS y plan de remediación. PTES y OSSTMM.
Servicios de auditoría
Pentesting Móvil y Auditoría de Apps
Pentesting de apps Android e iOS: análisis estático y dinámico, almacenamiento, comunicaciones y autenticación. Basado en OWASP MSTG, con informe y re-test.
Red Team y Simulación de Ataques Reales
Ejercicios Red Team con simulación realista de adversario. Basado en MITRE ATT&CK. Evaluamos detección, respuesta y contención. Incluye sesión Purple Team.
Auditoría de Active Directory
Auditoría de Active Directory: identificación de vectores de escalado, Kerberoasting, BloodHound, ACLs abusivas. Protege el núcleo de tu identidad corporativa.
Auditoría WiFi para Empresas
Auditoría de redes WiFi corporativas. War driving, rogue AP, WPA2/WPA3 Enterprise, 802.1X. Detectamos configuraciones débiles y accesos no autorizados.
Auditoría de Seguridad para MVP y Startups
Auditoría de seguridad para MVP y startups: autenticación, control de acceso, APIs, Supabase/RLS y cloud. Revisión corta y priorizada antes de lanzar.
¿Quieres saber si tu empresa tiene estas vulnerabilidades?
Auditamos la seguridad de empresas de toda España con alcance cerrado por escrito, informe técnico y ejecutivo, y retest de las correcciones. Presupuesto en 24 horas y primera consultoría sin coste. Si no sabes por dónde empezar, haz el test de seguridad de 15 preguntas.
Artículos relacionados
agosto 2026
Ataque a la Cadena de Suministro de Rust Introduce Malware en Crates con 245 Millones de Descargas
julio 2026
Paquete jscrambler de npm Comprometido: El Infostealer que Llegó por el Canal Oficial en Solo 6 Minutos
mayo 2026
Workstations de Desarrollo: El Nuevo Frente en los Ataques a la Cadena de Suministro de Software
Recursos gratuitos
Guía completa
Guía de Pentesting Web: Metodología, Herramientas y Precios
Herramienta interactiva
Checklist de Seguridad Informática para Empresas
Referencia
Glosario de Ciberseguridad: 60+ Términos
Guía 2026
Certificaciones de Ciberseguridad: Precios y Comparativa
Herramienta
Calculadora de Precio de Pentesting
Cumplimiento
Pentesting para ISO 27001 y ENS: Qué Exige la Norma