Fake Web3 Accelerator Uses npm Packages to Spread Malware and Hijack AI Agent Traffic
2026-10-19
El grupo detrás de la operación REF8801 se hizo pasar por un acelerador de capital de riesgo llamado Apex Accelerator y publicó dos paquetes npm maliciosos: @apexacc/cli, presentado como un "asesor de IA para fundadores de Web3" impulsado por Claude Fable 5 y Gemini 2.5 Flash, y @apexacc/audit, que se anunciaba como un servidor MCP con 18 herramientas de análisis de tokens, wallets y contratos inteligentes. Ambos paquetes estaban vinculados al usuario npm "apexaccelerator", al repositorio GitHub "apexaccs" y a una entidad que se denomina Apex Foundation.
Una vez instalados, los paquetes no ofrecen la funcionalidad prometida. En Windows, descargan y ejecutan una cadena de PowerShell que termina en un ladrón de información capaz de extraer datos del portapapeles, credenciales de navegadores, wallets de criptomonedas, historial de chats y capturas de pantalla, enviando todo a través de Telegram. En macOS, entregan la puerta trasera CloudSyncD, que solicita la contraseña del sistema mediante un prompt falso y luego recopila información de hardware y contacto con servidores externos (ccmihr[.]com) para recibir nuevas instrucciones. Además, ambos paquetes pueden interceptar y redirigir el tráfico de modelos de lenguaje grandes (LLM) mediante un servidor MCP controlado por el atacante, permitiendo ver y modificar los prompts, historiales y fragmentos de código enviados por agentes de IA.
Los investigadores de Elastic Security Labs encontraron comentarios en ruso en el historial de commits del código, aunque no son suficientes para atribuir la operación con certeza. Campañas similares ya habían sido detectadas en julio de 2026 con otros paquetes npm que distribuían un ladrón macOS de la familia Atomic Stealer. La Fundación Apex ha estado asociada desde abril de 2026 con los dominios apexaccs[.]org y apexfdn[.]xyz, afirmando ofrecer inversiones, grants y partnerships por hasta 235 000 USD. Para protegerse, las empresas deben revisar sus proyectos Node.js en busca de los paquetes @apexacc/cli y @apexacc/audit, eliminarlos inmediatamente, escanear los equipos con soluciones antimalware, bloquear el tráfico hacia los dominios vrf.apexaccs[.]org, verify.apexfdn[.]xyz y ccmihr[.]com, y rotar contraseñas de cuentas de criptomonedas y servicios de IA utilizados.
Se recomienda utilizar lockfiles (package-lock.json o yarn.lock) y realizar auditorías periódicas de dependencias con herramientas como npm audit o Socket para detectar paquetes maliciosos futuros.
Qué significa para una pyme colombiana y cucuteña: Revise si alguno de sus proyectos Node.js o herramientas de desarrollo utiliza los paquetes npm @apexacc/cli o @apexacc/audit; si los encuentra, elimínalos de inmediato, ejecute un escaneo antimalware en todos los equipos y bloquee el acceso a los dominios vrf.apexaccs[.]org, verify.apexfdn[.]xyz y ccmihr[.]com. Además, cambie las contraseñas de cualquier cuenta de criptomonedas o servicio de IA (Claude, Gemini, OpenRouter) que haya usado en esos equipos y considere activar la verificación en dos pasos para reducir el riesgo de que los datos robados sean útiles para los atacantes.