El malware GlassWorm se esconde en un código fuente abierto invisible

El software de código abierto tiene una vulnerabilidad invisible. Los hackers lo han encontrado

Por Deni Ellis Béchard editado por Eric Sullivan

El peligro en el código procedía de caracteres que son invisibles al ojo humano. A principios de marzo, investigadores de varias empresas de seguridad examinaron lo que parecía un espacio vacío y encontraron caracteres Unicode ocultos que se decodificaban en un programa malicioso. Los investigadores pronto rastrearon cientos de componentes de código abierto comprometidos distribuidos en GitHub, npm y otras importantes plataformas de desarrollo hasta una campaña de cibercrimen conocida como GlassWorm que ha estado en curso durante meses.

GlassWorm ataca algunos supuestos fundamentales del desarrollo de software moderno: que el código que puedes leer es un código en el que puedes confiar, que la infraestructura compartida es segura por defecto y que las personas que mantienen proyectos de código abierto pueden detectar de manera confiable lo que está mal antes de que se envíe. Debido a que las aplicaciones actuales se ensamblan a partir de código prestado, un paquete envenenado puede propagarse mucho más allá del proyecto donde apareció por primera vez.

Justin Cappos, profesor de informática en la Universidad de Nueva York, que estudia la seguridad de la cadena de suministro de software, compara el ataque con una máquina de escribir que oculta un segundo mensaje a plena vista. “Imagínese si, en lugar de simplemente imprimir el personaje en tinta negra, tal vez usara diferentes cantidades de tinta azul, roja y verde de una manera realmente sutil”, dice. “Así que parecía un poco negro, pero no era del todo negro. Un humano que mira algo como esto no va a detectar nada porque la información adicional está oculta”.

Sobre el apoyo al periodismo científico

Si está disfrutando de este artículo, considere apoyar nuestro periodismo galardonado suscribiéndose. Al comprar una suscripción, ayudas a garantizar el futuro de historias impactantes sobre los descubrimientos y las ideas que dan forma a nuestro mundo actual.

La idea de convertir a personajes invisibles en armas no es nueva. En 2021, investigadores de la Universidad de Cambridge identificaron una clase de ataques que denominaron “Fuente troyana”, que explotaba Unicode, el estándar que utilizan las computadoras para representar texto y símbolos. Advirtieron que “el software posterior probablemente heredará la vulnerabilidad”.

GlassWorm funciona de manera similar. Los atacantes envían lo que parecen ser pequeñas correcciones al software de código abierto. Los cambios parecen consistentes con el código circundante pero contienen caracteres invisibles. “Por lo general, una línea en la parte inferior dice: ‘Oye, revisa el archivo, extrae toda la información oculta y haz algo furtivo con él’”, dice Cappos.

Lo que hace que la campaña GlassWorm sea potente es la forma en que explota la estructura de dependencia del software. “Digamos que usted quiere crear un navegador web”, dice Cappos. “No querrás tener que escribir el código para mostrar una imagen tú mismo”. En cambio, las aplicaciones dependen de bibliotecas de código preescrito, que a su vez importan automáticamente docenas más. Cualquiera de ellos puede resultar envenenado. “El atacante utilizará el software malicioso no para colocar malware en el programa que ha comprometido, sino para decir: ‘Oye, para poder trabajar, necesito algunos componentes básicos de aquí'”, explica Cappos. “Y ese componente básico es el que tiene el malware”.

La ola de marzo de 2026 se destacó tanto por su escala como por su sofisticación. Entre el 3 y el 9 de marzo, las empresas de ciberseguridad Aikido, StepSecurity y Socket rastrearon la actividad de GlassWorm en cientos de repositorios y extensiones. Las infecciones abarcaron repositorios de JavaScript, TypeScript y Python. Y el 16 de marzo, dos paquetes previamente limpios con aproximadamente 135.000 descargas mensuales habían sido infectados.

Los atacantes detrás de GlassWorm lo hacen por dinero. Una vez que se ejecuta el código oculto, descarga scripts secundarios diseñados para robar tokens de criptomonedas, credenciales de desarrollador y otros secretos. “A menudo se trata de bandas de ciberdelincuentes profesionales”, afirma Cappos. “Están ganando toneladas de dinero”.

Su éxito expone un problema más profundo. El campo de la seguridad de la cadena de suministro de software ha sido, en opinión de Cappos, “muy pasado por alto durante un largo período de tiempo”. Los actores del Estado-nación lo han explotado durante más de una década, dice, y ahora los ciberdelincuentes han despertado a la oportunidad. Pero el verdadero fracaso, sostiene, no son los mantenedores descuidados del código fuente abierto, sino las herramientas de seguridad inadecuadas. “Creo que lo realmente fácil es tratar de culpar a quienes lo mantienen, pero eso es un poco miope”, dice. “Las herramientas y las protecciones de seguridad deben mejorar para salvarnos”.

Es hora de defender la ciencia

Si te ha gustado este artículo, me gustaría pedirte tu apoyo. Científico americano ha servido como defensor de la ciencia y la industria durante 180 años, y ahora mismo puede ser el momento más crítico en esos dos siglos de historia.

he sido un Científico americano suscriptor desde que tenía 12 años y me ayudó a moldear mi forma de ver el mundo. Ciencia-Am Siempre me educa y me deleita, e inspira una sensación de asombro por nuestro vasto y hermoso universo. Espero que también lo haga por ti.

Si te suscribes a Científico americanousted ayuda a garantizar que nuestra cobertura se centre en investigaciones y descubrimientos significativos; que tenemos los recursos para informar sobre las decisiones que amenazan a los laboratorios en todo Estados Unidos; y que apoyemos a los científicos tanto en ciernes como en activo en un momento en el que con demasiada frecuencia el valor de la ciencia misma pasa desapercibido.

A cambio, obtiene noticias esenciales, podcasts cautivadores, infografías brillantes, boletines informativos imperdibles, vídeos imprescindibles, juegos desafiantes y los mejores escritos e informes del mundo científico. Incluso puedes regalarle a alguien una suscripción.

Nunca ha habido un momento más importante para que nos levantemos y demostremos por qué la ciencia es importante. Espero que nos apoyes en esa misión.