Install Inspector: detecta el paquete npm malicioso antes de que se ejecute
Inspecciona un paquete como un ingeniero cuidadoso, marca lo sospechoso y decide si lo bloqueas o lo instalas antes de que el código se ejecute.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un compañero te acaba de pedir que añadas un paquete. Estás a un npm install de ejecutarlo. Este entrenador práctico de seguridad de la cadena de suministro te pone en ese momento: inspeccionas el paquete como un ingeniero cuidadoso (la página de npm, el package.json, los scripts de instalación, el diff entre versiones y la procedencia), marcas lo sospechoso y decides si lo bloqueas o lo instalas antes de que el código se ejecute. Si te equivocas, verás cómo se dispara el payload. Modela ataques reales: Shai-Hulud, ChainDrop, @subql, typosquats y confusión de dependencias. Está pensado para entrenar el único hábito que detiene los ataques a la cadena de suministro: inspeccionar el comportamiento en tiempo de instalación antes de fiarte del registro. Es una herramienta Pro.
- Lee la petición y abre las pestañas de pruebas: la página de npm, el package.json, la lista de archivos, el diff entre versiones y la procedencia.
- Marca las señales de alerta que encuentres.
- Decide si bloqueas o instalas el paquete.
- Mira lo que el paquete habría hecho realmente y repasa las señales que marcaste.
Preguntas frecuentes
¿Qué es Install Inspector?
Un entrenador interactivo que te pone en el asiento de un desarrollador justo antes de ejecutar npm install. Inspeccionas la página de npm del paquete, su package.json, la lista de archivos, el diff entre versiones y la procedencia, marcas las señales de alerta y decides si bloquearlo o instalarlo; después ves lo que el paquete habría hecho realmente. Está pensado para entrenar el único hábito que detiene los ataques a la cadena de suministro: inspeccionar el comportamiento en tiempo de instalación antes de fiarte del registro.
¿Cómo esconden los atacantes malware en un paquete npm?
El vector más común es un script de ciclo de vida (preinstall, postinstall o install) que se ejecuta automáticamente con npm install, antes de que llegues a importar o leer el código; a menudo es un bloque ofuscado que recoge variables de entorno, tokens de .npmrc y claves de la nube y SSH y los exfiltra. Otros usan typosquatting (un nombre a una edición de distancia de un paquete popular), confusión de dependencias (publicar en público el nombre de tu paquete interno con una versión enorme), payloads de segunda fase descargados durante la instalación y, el más sutil, abusar del CI legítimo de un mantenedor comprometido para que la versión maliciosa quede firmada con una procedencia válida.
¿Un script de instalación en el package.json significa que el paquete es malware?
No. Un script de ciclo de vida es una señal amarilla, no roja. Los módulos nativos (sharp, libvips, better-sqlite3, herramientas basadas en Rust) usan legítimamente un script de instalación para descargar un binario precompilado de la propia versión del proyecto y comprobar su checksum. La habilidad está en leer qué hace el script: descargar y verificar un binario está bien; leer el entorno y llamar a casa, no. El valor por defecto más seguro es npm install --ignore-scripts con una lista permitida para los pocos paquetes que de verdad necesitan un paso de compilación.
¿Puede ser malicioso un paquete firmado con procedencia?
Sí, y esa es la trampa. La procedencia certifica de dónde salió una compilación (qué repositorio, qué CI), no si el código es benigno. Cuando se compromete la cuenta o el CI de un mantenedor, su pipeline legítimo firma código realmente malicioso con una procedencia válida. El incidente de @subql/common 5.8.3 de octubre de 2026 distribuyó un ladrón de credenciales firmado por GitHub Actions reales. Trata «firmado con procedencia» como una prueba de origen, no como una decisión de confianza, y revisa el diff de cada subida de versión, incluidos los parches.
¿Es gratis? ¿Necesito una cuenta?
Funciona en tu navegador. Una cuenta gratuita tiene 3 usos de herramientas gratuitos, compartidos entre todas las herramientas; después, la herramienta necesita Pro, por 5 $/mes o 40 $/año. Tu primera partida de incidente en la Cyber War Room también es gratuita con una cuenta gratuita.