馃毃 Alerta tecnol贸gica: Detectan paquete malicioso en npm que suplanta a WhatsApp para robar mensajes y contactos 馃摫
Investigadores de ciberseguridad han encendido las alarmas tras identificar un paquete malicioso en el repositorio npm (el gestor de paquetes de JavaScript) que se hace pasar por una API leg铆tima de WhatsApp. El paquete, denominado ‘lotusbail’, fue subido por el usuario ‘seiren_primrose’ y se presenta enga帽osamente como una herramienta funcional para interactuar con la aplicaci贸n de mensajer铆a. Sin embargo, su verdadero objetivo es interceptar mensajes, recopilar listas de contactos y robar credenciales de autenticaci贸n, afectando ya a miles de desarrolladores que lo integraron en sus proyectos pensando que era una biblioteca inofensiva.
La investigaci贸n de Koi Security detalla que el malware funciona mediante un contenedor WebSocket malicioso que redirige la informaci贸n interceptada hacia los servidores de los atacantes. Lo m谩s peligroso de ‘lotusbail’ es su capacidad de vinculaci贸n persistente: al momento de autenticarse para usar la API, el software vincula autom谩ticamente el dispositivo del atacante a la cuenta de WhatsApp de la v铆ctima. Esto permite a los ciberdelincuentes mantener el acceso a conversaciones y archivos multimedia incluso si el desarrollador elimina el paquete malicioso de su sistema, estableciendo una 芦puerta trasera禄 de larga duraci贸n.
[Imagen ilustrativa del logotipo de WhatsApp rodeado de l铆neas de c贸digo y un candado abierto, simbolizando la vulnerabilidad del paquete npm]
El dise帽o de este malware incluye t谩cticas avanzadas de evasi贸n, como capacidades anti-depuraci贸n que provocan un bucle infinito si detectan que un experto en seguridad est谩 intentando analizar el c贸digo. Con m谩s de 56,000 descargas acumuladas hasta diciembre de 2025, la biblioteca ha logrado camuflarse gracias a su apariencia profesional y a la manipulaci贸n de su reputaci贸n en el repositorio. Seg煤n los expertos, este incidente subraya que los ataques a la cadena de suministro son cada vez m谩s sofisticados, superando los an谩lisis est谩ticos tradicionales que solo revisan el funcionamiento superficial del c贸digo.
Para aquellos que sospechan haber sido v铆ctimas, la 煤nica forma efectiva de desvincular el acceso del atacante es entrar manualmente en la configuraci贸n de Dispositivos Vinculados dentro de la aplicaci贸n de WhatsApp y cerrar la sesi贸n de cualquier dispositivo no reconocido. Este hallazgo coincide con otras campa帽as de malware similares detectadas en entornos como NuGet, donde paquetes falsos de herramientas cripto buscan redirigir fondos. La recomendaci贸n para los desarrolladores en este cierre de 2025 es extremar la verificaci贸n de las fuentes y utilizar 煤nicamente bibliotecas oficiales o ampliamente validadas por la comunidad.