Entre los proyectos afectados se encontraban herramientas populares como TanStack, además de paquetes relacionados con Mistral AI y otros proveedores de software .
En este tipo de ataques de cadena de suministro, los atacantes modifican bibliotecas de software legítimas para distribuir código malicioso a quienes instalan o actualizan esas dependencias.
Mistral confirmó que parte de su ecosistema de desarrollo se vio afectado por ese ataque, pero su explicación limita el alcance del incidente.
Según su aviso de seguridad:
La empresa afirma que su investigación forense concluyó que la infraestructura interna de Mistral no fue comprometida .
Las versiones afectadas incluyeron, entre otras:
El paquete malicioso de PyPI ejecutaba código al importarse, descargando un archivo llamado transformers.pyz desde una dirección IP externa y ejecutándolo como proceso en segundo plano en sistemas Linux .
Por ahora, no hay pruebas que conecten directamente ambos eventos.
Los investigadores consideran varias posibilidades:
Dado que Mistral sostiene que su infraestructura no fue vulnerada y que no hay verificación independiente del material ofrecido, el supuesto "código fuente en venta" debe considerarse una afirmación no verificada por ahora.
Aunque la venta de repositorios sigue siendo dudosa, el ataque Mini Shai‑Hulud sí representa uno de los episodios recientes más importantes de compromiso de la cadena de suministro en software de código abierto, afectando decenas de proyectos y cientos de paquetes utilizados por desarrolladores .
Esto vuelve a poner el foco en los riesgos de seguridad del ecosistema de dependencias y en cómo un único paquete comprometido puede propagarse rápidamente por miles de proyectos.
Comments
0 comments