El ataque a la cadena de suministro que persigue GhostAction ha escalado: ya no busca repositorios, busca desarrolladores concretos de GitHub.
La ronda de análisis que publica el boletín de malware de Security Affairs sitúa en el mismo plano dos piezas que encajan como un guante: la escalada de GhostAction contra usuarios de GitHub y el análisis de ROMULUS como plataforma de entrega multipayload. Ninguna de las dos llega con comunicado oficial de agencia. Y eso, en este oficio, no es un detalle menor: la atribución sigue abierta y quien la cierre vende humo.
Le pongo en contexto. Un ataque a la cadena de suministro no entra por la puerta principal; se sienta en la mesa de al lado. Se compromete la herramienta que el desarrollador ya usa y en la que confía sin mirar: el gestor de dependencias, la librería que se importa en tres líneas, el CLI que se actualiza sin leer el changelog, el plugin del CMS que nadie audita.
El eslabón débil nunca fue el cortafuegos: fue la confianza.
GhostAction no inventa una técnica nueva. Refina el patrón que ya vimos en SolarWinds en 2020 y en el envenenamiento de dependencias de la década anterior: entrar por una pieza legítima para llegar a miles de objetivos. Lo que cambia ahora es el foco. El actor ya no se conforma con plantar código en un repositorio; trabaja sobre las cuentas y las estaciones de trabajo de quienes tienen permiso de escritura. He seguido este tipo de campañas durante años y el guion no cambia: la diferencia entre envenenar el pozo y quedarse con la llave del pozo.
En la cadena de suministro no se ataca al fuerte: se compra al proveedor del fuerte y se espera sentado.
El tradecraft que se repite en estas campañas tiene tres movimientos. Primero, el robo de tokens de acceso personal o de credenciales de integración continua, que en la práctica equivalen a la firma del desarrollador. Segundo, la inyección de código en flujos de trabajo automatizados, donde el malware se ejecuta con los privilegios del proceso legítimo y sin que ningún humano haga clic. Tercero, la exfiltración silenciosa de secretos —claves de API, cadenas de conexión, certificados— que después se revenden o se reutilizan meses más tarde.
Lo distintivo de esta escalada no es el volumen, es el objetivo. Un portátil de un ingeniero con acceso a producción vale más en el mercado clandestino que diez servidores perimetrales.
Y aquí aparece la segunda pieza. ROMULUS no es un malware al uso, sino una plataforma de entrega que encadena varias cargas según lo que encuentre al otro lado: un infostealer si detecta navegador con sesiones activas, una puerta trasera si hay persistencia posible, un módulo de reconocimiento si el equipo parece interesante. El vehículo elegido para distribuirla es ClickFix, una técnica tan simple que incomoda: una falsa verificación de CAPTCHA, un mensaje que invita a pegar un comando en la consola y un usuario que lo hace porque cree que está resolviendo un problema técnico.
Ahí está el negocio: vender la llave, no la puerta.
Piense un segundo en la eficacia del engaño. No hay exploit, no hay vulnerabilidad de día cero, no hay payload que sortear. El usuario ejecuta la acción maliciosa con sus propias manos. Cualquier EDR que base su detección en heurísticas de binarios sospechosos se queda mirando cómo el proceso legítimo hace algo ilegítimo.
El resto de la ronda dibuja el mismo paisaje. LiteLLM comprometido en un ataque a la cadena de suministro que reparte ladrón de credenciales y backdoor. Cinco versiones del CLI de OVHcloud secuestradas para distribuir malware que roba secretos. Vulnerabilidades de Plex explotadas en abierto para colar un minero de criptomonedas. Una puerta trasera de alta prioridad en el plugin Rank Math SEO PRO 3.0.123 de WordPress. La Operación FlashHole de Lazarus Group rompiendo controles. Pegasus y spyware mercenario contra figuras prodemocráticas serbias. Y ArgonWiper, que se cuela incluso donde hay copias de seguridad. Ese es el ritmo.
Sobre España, conviene no hacer demagogia pero tampoco mirar a otro lado. El CCN-CERT incluye desde hace años la cadena de suministro entre sus vectores de vigilancia preferente, y sus guías de higiene corporativa han ido incorporando la verificación de dependencias y la firma de artefactos. La CISA estadounidense hace lo propio con un catálogo de medidas que buena parte del sector privado español copia sin reconocerlo. Ninguno de los dos ha publicado una atribución formal de GhostAction. Quien diga lo contrario, que enseñe el documento.
En España hay 8.000 infraestructuras críticas y atacables a través de internet; lo escribí en El quinto elemento y el paso del tiempo solo ha empeorado la cuenta. La cadena de suministro es la puerta lateral que entra en casi todas ellas sin hacer ruido.
Dossier Moncloa: Ojos en la Sombra
El vector es un ciberataque de cadena de suministro con entrega multifase: no hay vulnerabilidad de día cero, hay abuso de confianza técnica. GhostAction opera sobre repositorios y credenciales de desarrollo; ROMULUS actúa como distribuidor adaptable mediante ClickFix. El componente HUMINT es mínimo y el SIGINT no aplica.
En el reparto de agencias, el atacante no tiene atribución pública consolidada, y eso hay que subrayarlo. Como defensoras aparecen la CISA estadounidense, el CCN-CERT español y la ENISA europea, todas con la cadena de suministro en su catálogo de riesgos. Como terceros interesados, Lazarus Group y el ecosistema de spyware mercenario de la misma ronda: no participan del incidente, pero se benefician del ruido.
Sobre clasificación, estimo nivel reservado en los indicadores técnicos y confidencial en la identificación de cuentas afectadas. A juzgar por la naturaleza del material comprometido —tokens, secretos de integración, credenciales, y certificados—, cualquier informe interno de un CERT llega con distribución restringida.
El precedente que ordena todo esto es SolarWinds. En 2020, APT29, atribuido al SVR ruso, convirtió una actualización legítima en caballo de Troya y tardó meses en ser detectado. La lección no fue técnica, fue doctrinal: la cadena de suministro convierte a un proveedor pequeño en puerta de gobiernos.
Mi posición es incómoda para los dos lados. No me creo las atribuciones rápidas de las empresas de ciberseguridad, que compiten por poner apellido a un grupo APT antes que el rival. Tampoco me convence el silencio de las agencias, que ahorra explicaciones y deja al tejido productivo sin herramientas. El punto débil es evidente: sin muestra pública ni informe técnico completo, buena parte de lo descrito se apoya en coincidencia de patrones, no en evidencia encadenada. Lo digo antes de que lo digan otros.
Lo que sí puedo afirmar sin reservas: el próximo incidente grave de esta década no empezará con un phishing tosco, sino con una actualización que usted instalará convencido de que hace lo correcto. La fecha concreta la pondrá el próximo informe trimestral de amenazas del CCN-CERT, previsiblemente en el primer trimestre de 2027, y la ronda semanal del boletín que seguirá sumando piezas mientras nadie las conecte.
