Hasta paquetes de 144 npm asociados con el mastra El espacio de nombres («@mastra/*»), un popular marco JavaScript y TypeScript de código abierto para crear aplicaciones de inteligencia artificial (IA), se ha visto comprometido como parte de un ataque a la cadena de suministro de software con nombre en código. día-fácil-jssegún los hallazgos de JFrog, SafeDep, Enchufey PasoSeguridad.
«Una sola cuenta npm (ehindero) publicó en masa más de 140 paquetes maliciosos en todo el ámbito de Mastra en un breve período el 17 de junio de 2026», dijo Socket.
Los paquetes infectados en sí no incluyen código malicioso. En cambio, se introduce mediante una biblioteca de terceros llamada «easy-day-js» que se ha agregado a la lista de dependencias de cada paquete. La biblioteca JavaScript fue publicada por un usuario de npm llamado «sergey2016» el 16 de junio de 2026 a las 7:05 a. m. UTC como una copia limpia y completamente funcional, y los cambios maliciosos se introdujeron el 17 de junio de 2026 a la 1:01 a. m. UTC.
El paquete «easy-day-js» lanza una carga útil ofuscada que se activa durante un enlace posterior a la instalación, que actúa como un gotero o cargador para una carga útil de segunda etapa recuperada de la infraestructura controlada por el atacante («23.254.164[.]92») después de deshabilitar la validación del certificado TLS.
Luego, la carga útil se ejecuta como un proceso en segundo plano independiente, tras lo cual el cargador toma medidas para borrarse a sí mismo y minimizar el rastro forense.
La etapa final es un ladrón de información multiplataforma que puede recopilar el historial del navegador, almacenar datos de más de 160 extensiones de navegador de billeteras de criptomonedas, instalar persistencia en Windows, macOS y Linux, y filtrar la información capturada al servidor C2 («23.254.164[.]123»).
En su análisis, SafeDep describió «easy-day-js» como un clon de la biblioteca de fechas «dayjs» que descarga y ejecuta un troyano de acceso remoto que roba criptomonedas. Se dice que los atacantes detrás de la campaña secuestraron la cuenta de «ehindero», un ex colaborador legítimo de Mastra cuyo acceso nunca fue revocado. Desde entonces, Npm eliminó las versiones maliciosas de los paquetes de más alto perfil y revirtió su última etiqueta.
 |
| Fuente de la imagen: StepSecurity |
«Mastra envía sus lanzamientos reales de CI a través del flujo de editores confiables de npm, y cada uno lleva certificaciones de procedencia SLSA», dijo SafeDep. «El atacante empujó las versiones maliciosas desde un token personal y eliminó la procedencia».
«La misma huella digital se repite en todo el alcance. Mastra generó procedencia en las publicaciones de CI pero no la requirió, por lo que un token npm estándar aún podría publicarse sin atestaciones. Una instalación de verificación de firmas (firmas de auditoría de npm o una política que requiere atestaciones) habría rechazado todos los paquetes en esta ola».
Cualquier estación de trabajo, ejecutor de CI o entorno de compilación que haya instalado las versiones afectadas debe tratarse como potencialmente comprometido. Se recomienda volver a una versión segura, rotar las credenciales y auditar los hosts en busca de artefactos vinculados a la campaña.
«Los paquetes afectados incluyen @mastra/core, que recibe más de 918.000 descargas semanales de npm, lo que le da a esta campaña un gran radio potencial de explosión», dijo Socket. «Debido a que la carga útil se ejecuta durante la instalación, los sistemas pueden quedar expuestos antes de que los desarrolladores importen o utilicen el paquete».
