Ataque a la cadena de suministro de NPM y PyPI afecta a TanStack, Mistral AI y más de 170 paquetes

El 11 de mayo de 2026, un ataque coordinado a la cadena de suministro comprometió más de 170 paquetes npm y 2 paquetes PyPI en proyectos importantes como TanStack, Mistral AI, UiPath, OpenSearch y Guardrails AI. El atacante publicó 404 versiones maliciosas en total, y algunos paquetes recibieron hasta 9 versiones.

Objetivos de alto perfil

• TanStack (42 paquetes, 84 versiones): Todo el ecosistema de router, incluyendo @tanstack/react-router, @tanstack/vue-router y @tanstack/solid-router, junto con sus devtools y plugins SSR.
• Mistral AI (3 paquetes npm, 9 versiones; 1 paquete PyPI): @mistralai/mistralai (SDK principal), @mistralai/mistralai-azure, @mistralai/mistralai-gcp. Paquete PyPI mistralai==2.4.6 (la última legítima era 2.4.5).
• UiPath (65 paquetes) y OpenSearch (1.3 millones de descargas semanales en npm).
• PyPI: guardrails-ai==0.10.1 también comprometido.

Cómo funciona el ataque

Los paquetes npm contienen un hook de preinstalación malicioso que coloca archivos en .claude/settings.json, .claude/setup.mjs, .vscode/tasks.json y .vscode/setup.mjs. Luego usa la mutación GraphQL createCommitOnBranch de GitHub para enviar configuraciones envenenadas a los repositorios del usuario, escaneando patrones de tokens como ghp_*, gho_*, ghs_* y npm_*.

La variante PyPI se activa al hacer import (no al ejecutar pip install), descargando un dropper de Python desde hxxps://git-tanstack[.]com/transformers.pyz y ejecutándolo con python3 /tmp/transformers.pyz.

Indicadores de compromiso (IoCs)

• C2/Exfiltración: hxxp://filev2[.]getsession[.]org/file/
• Sondeo de metadatos AWS: hxxp://169[.]254[.]169[.]254/latest/meta-data/iam/security-credentials/
• Sondeo de Vault: hxxp://127[.]0[.]0[.]1:8200
• Descarga de runtime Bun: hxxps://github[.]com/oven-sh/bun/releases/download/bun-v1.3.13/
• Dominio de descarga PyPI: hxxps://git-tanstack[.]com/transformers.pyz (marcado como phishing por Cloudflare)

Mitigación

Revisa tu package-lock.json o yarn.lock para detectar las versiones afectadas. Bloquea los dominios listados en tu cortafuegos. Rota cualquier token que pueda haber quedado expuesto. PyPI ha puesto en cuarentena los proyectos mistralai y guardrails-ai.