Alerta: UNC6426 explota ataque de cadena de suministro para acceder a AWS
Publicado el
Introducción
El grupo de amenazas UNC6426 ha demostrado su capacidad para comprometer entornos de nube mediante un ataque a la cadena de suministro del paquete nx npm, logrando acceso administrativo a Amazon Web Services (AWS) en un tiempo récord de 72 horas. Este ataque se inició con el robo de un GitHub token de un desarrollador, lo que permitió a los atacantes obtener acceso no autorizado y robar datos.
Desarrollo del ataque
Según el informe de Google Cloud Threat Horizons para el primer semestre de 2026, UNC6426 utilizó el acceso obtenido para abusar de la confianza del OpenID Connect (OIDC) entre GitHub y AWS, creando un nuevo rol de administrador en el entorno de la nube. Esta acción facilitó la exfiltración de archivos desde los S3 buckets de AWS del cliente y la destrucción de datos en sus entornos de producción.
El ataque a la cadena de suministro que afectó al paquete nx npm ocurrió en agosto de 2025. Los atacantes explotaron una vulnerabilidad en el flujo de trabajo pull_request_target, conocido como Pwn Request, para obtener privilegios elevados y acceder a datos sensibles, incluido un GITHUB_TOKEN. Posteriormente, se enviaron versiones trojanizadas del paquete al registro npm, las cuales incluían un script de postinstalación que lanzaba un ladrón de credenciales llamado QUIETVAULT. Este script extraía variables de entorno, información del sistema y tokens valiosos, utilizando una herramienta de Large Language Model (LLM) ya instalada en el sistema para escanear en busca de información sensible.
Reconocimiento y escalada de privilegios
Dos días después de la brecha inicial, UNC6426 comenzó actividades de reconocimiento en el entorno de GitHub de la víctima usando el PAT robado y una herramienta de código abierto llamada Nord Stream. Esto permitió a los atacantes extraer secretos de los entornos de CI/CD, filtrando las credenciales para una cuenta de servicio de GitHub. A partir de ahí, utilizaron esta cuenta de servicio para generar tokens temporales de AWS Security Token Service (STS) que les otorgaron acceso al entorno de AWS de la víctima.
Google indicó que el rol de Github-Actions-CloudFormation comprometido era excesivamente permisivo, lo que permitió a UNC6426 desplegar una nueva pila de AWS con capacidades de administrador. En menos de 72 horas, los atacantes lograron escalar desde un token robado hasta permisos completos de administración en AWS.
Acciones finales y consecuencias
Con los nuevos roles de administrador, UNC6426 llevó a cabo diversas acciones, incluyendo la enumeración y acceso a objetos dentro de los S3 buckets, la terminación de instancias de Elastic Compute Cloud (EC2) y Relational Database Service (RDS), así como la desencriptación de claves de aplicación. En la etapa final, todos los repositorios internos de GitHub de la víctima fueron renombrados y hechos públicos.
Recomendaciones de seguridad
Para mitigar este tipo de amenazas, se aconseja utilizar gestores de paquetes que bloqueen scripts de postinstalación, aplicar el principio de mínimos privilegios (PoLP) a las cuentas de servicio de CI/CD y roles vinculados a OIDC, así como hacer cumplir PATs finamente ajustados con ventanas de expiración cortas y permisos específicos. También es crucial eliminar privilegios permanentes para acciones de alto riesgo y monitorizar actividades anómalas de IAM.
Este incidente resalta un caso de abuso de cadena de suministro asistido por IA, donde la ejecución de ataques se delega a agentes de IA con acceso privilegiado a los sistemas de los desarrolladores. La creciente integración de asistentes de IA en los flujos de trabajo de desarrollo amplía la superficie de ataque, lo que dificulta las detecciones convencionales.