Análisis de Herramientas para Detectar Scripts Maliciosos en Node.js

Abstract

El objetivo principal de este informe técnico es analizar y compara mediante parámetros definidos de cuatro herramientas de software libre frente a scripts maliciosos y comportamientos anómalos en proyectos de Node.js: Semgrep, SonarQube (análisis estático de código), y OWASP Dependency-Check y OSV-Scanner (análisis de composición de software). A raíz de los recientes incidentes de seguridad que han afectado al ecosistema, en los que la inclusión de código no autorizado ha comprometido la seguridad de múltiples proyectos a nivel global, resulta fundamental determinar qué tipo de amenaza detecta cada enfoque antes del despliegue en producción. Para ello, se ejecutaron las herramientas sobre códigos maliciosos, entre ellos el publicado por el grupo teamPCP, y se compararon su tiempo de respuesta, su capacidad de detección, la calidad de sus reportes y su usabilidad. Los resultados muestran que la detección de scripts maliciosos depende de reglas de análisis estático configuradas por el usuario, mientras que las herramientas de composición de software identifican vulnerabilidades conocidas en las dependencias. Por ello, se recomienda combinar ambos enfoques para reducir el riesgo de ejecutar código malicioso en las etapas de desarrollo.