¿La revocación del certificado en realidad activa una liquidación física?
El gusano espía de TanStack ha sido de código abierto, ocultando un interruptor irreversible de autodestrucción

Según el monitoreo de Beating, el grupo de hackers TeamPCP, responsable del envenenamiento de la cadena de suministro de npm, ha publicado en GitHub el código completo del gusano implicado, Mini Shai-Hulud, bajo la licencia MIT. Los expertos en seguridad descubrieron en el código que este malware cuenta con un “interruptor de muerte” incorporado; si un desarrollador infectado revoca las credenciales de GitHub o servicios en la nube sin eliminar completamente los archivos residuales, el programa malicioso borrará inmediatamente todo el directorio principal de la computadora.

Los investigadores confirmaron que este gusano instala un proceso de vigilancia en segundo plano en macOS o Linux, que verifica cada minuto si las credenciales robadas siguen siendo válidas. Una vez que detecta que las credenciales son rechazadas por el servidor (lo que indica que la víctima ha rotado las credenciales), el gusano invoca inmediatamente el comando del sistema shred, que destruye de manera irreversible y sobreescribe todos los archivos escribibles en el directorio principal del usuario.

Esto desafía directamente el flujo de respuesta de seguridad habitual: cuando una empresa sufre una filtración de credenciales, la reacción más común es revocar las claves inmediatamente, pero en este ataque, esa acción en realidad activa la destrucción de datos local. Actualmente, se ha confirmado que el gusano infectó cerca de 400 versiones de más de 170 paquetes, incluyendo TanStack, UiPath y Mistral AI. Después de que el hacker publicó el código con la cuenta llamada PedroTortoriello y se burló de “la masacre del código abierto”, incluso un tercero envió una solicitud de extracción (PR) para agregar soporte para FreeBSD. Actualmente, Microsoft ha bloqueado rápidamente esa cuenta y eliminado todos los repositorios y ramas forkeadas en GitHub, pero el código fuente ya filtrado sigue circulando en otros canales.