JFrog: el gusano testmetest de npm ha armado 42 repositorios de GitHub, con ganchos para herramientas de programación con IA

JFrog Security Research afirma que la campaña testmetest va más allá de npm: encontró 42 repositorios de GitHub armados pertenecientes a 11 propietarios legítimos que ocultan un publicador de npm, además de un nuevo complemento nativo que descifra su carga útil durante la ejecución y permanece inactivo en CI, sandboxes y herramientas de análisis. La campaña abarca 25 nombres de paquetes de npm. JFrog recomienda comprobar si se instaló algún paquete testmetest o @iobandamwer y eliminarlo.

Según un resumen de la investigación, el gusano pertenece a la familia Miasma de gusanos de npm. Añade cargas útiles de unos 13 MB en .github/init.js y ganchos en .claude/settings.json (SessionStart) y en la configuración de Gemini CLI, Cursor y VS Code, para que al abrir un repositorio infectado se ejecute. Se dice que roba archivos .env, claves SSH, de la nube y de IA, y que borra el directorio de inicio cuando se revoca un token robado, por lo que se debe eliminar la persistencia antes de rotar las credenciales.

Otros que han escrito sobre el tema: Jamf Threat Labs describe una variante de macOS cuyo activador está oculto en binding.gyp, como un paso silencioso y falso de node-gyp; además, un feed de seguridad enumera tres avisos de GitHub (GHSA-7rwv-2p3x-mch4, GHSA-26g3-4jrv-x55w, GHSA-r5cq-2h3p-f6qf), algunos ya corregidos.