La noticia común del día: los atacantes se acercan a las herramientas que los desarrolladores ya confían. Paquetes npm, plugins de IDE, contenido compartido y secretos locales aparecen en la misma cadena de riesgo.

Ilustración de ciberseguridad con paquetes open source y estación de desarrollo

Mastra muestra lo rápido que un namespace puede volverse peligroso

Endor Labs, JFrog, Socket, StepSecurity y The Hacker News informaron de una campaña contra hasta 144 paquetes @mastra en npm. easy-day-js combinó dependencias maliciosas y publicación masiva tras comprometer una cuenta. Orca Security señaló que @mastra/core rondaba 918.000 descargas semanales. Los equipos que instalaron @mastra/* después del 16 de junio deben revisar lockfiles, CI, estaciones y tokens.

Plugins maliciosos de IDE buscan claves de IA

JetBrains retiró 15 plugins de Marketplace diseñados para robar claves de proveedores de IA y deshabilitó copias instaladas. El atractivo es evidente: las herramientas de coding con IA viven dentro del IDE, junto a código, prompts y credenciales pagadas. La revisión de plugins ya forma parte de la gestión de secretos.

Wallpaper Engine recuerda que el contenido ejecutable viaja por comunidades

Kaspersky y BleepingComputer describieron malware distribuido mediante Steam Workshop y Wallpaper Engine. Cualquier ecosistema que permite contenido activo de usuarios puede convertirse en canal de entrega. Un PC personal usado para desarrollo necesita higiene de endpoint.

La visibilidad de credenciales llega al equipo del desarrollador

Help Net Security cubrió GitGuardian Developer Endpoint Protection, una señal de mercado clara: las empresas buscan secretos no solo en repositorios, sino también en máquinas donde nacen scripts temporales, notebooks y tokens copiados.

Lista inmediata

Revisar lockfiles y CI, rotar tokens, auditar plugins de IDE y extensiones de navegador, reducir permisos y escanear endpoints de desarrollo. Fuentes: Endor Labs, JFrog, Socket, StepSecurity, The Hacker News, Orca Security, JetBrains, Kaspersky, BleepingComputer y Help Net Security.