101 paquetes npm maliciosos añaden las cuentas de WhatsApp de los desarrolladores a grupos sin su consentimiento.

Investigadores de ciberseguridad han identificado un conjunto de 101 paquetes npm utilizados para atraer a desarrolladores a una campaña de suscripción a grupos de WhatsApp denominada PhantomSub.

"Estos paquetes maliciosos abusan del proyecto de código abierto 'Baileys' de WhatsApp para añadir a las víctimas a grupos sin su consentimiento", afirmaron los investigadores de OX Security, Nir Zadok, Moshe Siman Tov Bustan y Vitalii Chepurko, en un informe técnico publicado el lunes.

Estos paquetes se han descargado un total de 490.000 veces, de las cuales 116.000 se produjeron en los últimos 30 días. A continuación se muestran los nombres de algunos paquetes:

• ourin-baileys
• @nexustechpro/baileys
• @badzz88/baileys
• @ostyado/baileys
• levvleys
• @vanzxy/baileys
• @yudzxml/baileys
• @chatunity/baileys
• @kelvdra/baileys
• neuralwhatsapp
• lilys-baileys
• @fyxzpediaa/baileys
• noxleyss
• @xrelly-stack/bails
• alipclutch-baileys
• kurobails
• eliteprotech-baileys
• @xayz/baileys
• chromestaff-baileys
• @sanzoffc/baileys
• @sairidev/baileys-new
• cloud-baileys
• @nyzzpediaa/baileys-new
• ishumdz-bail
• nishiki-bail
• diezyclutch-baileys
• oktz-baileys
• my-auto-follow

Los detalles de esta actividad surgieron por primera vez en agosto de 2026, cuando SafeDep informó haber identificado un conjunto de bifurcaciones de Baileys npm que realizaban comportamientos maliciosos, como hacer que la cuenta de WhatsApp del instalador siguiera subrepticiamente los canales controlados por el autor del paquete e inyectar la URL publicitaria del autor en cada imagen y video que enviaba el bot.