LONDON (IT BOLTWISE) – Zwei Beta-Versionen von npm-Paketen aus dem Namespace @joyfill sollen beim Import in Node.js verdeckt einen Remote-Access-Trojaner nachladen. Die Schadlogik löst verschlüsselten Code über Transaktionen in mehreren Blockchains auf und führt ihn anschließend im Kontext des ladenden Prozesses aus. Betroffen sind laut Analyse unter anderem layouts 0.1.2-2773.beta.0 und components 4.0.0-rc24-2773-beta.4. Entwickler sollen die Versionen aus Lockfiles und Build-Artefakten entfernen, Versionen gegen verifizierte Releases pinnen und betroffene Credentials rotieren.
In der npm-Ökosystemkette taucht mit den beiden kompromittierten Beta-Paketen aus dem Namespace @joyfill ein besonders gefährliches Muster auf: Der schädliche Code ist nicht an klassische npm-Lifecycle-Hooks gebunden, sondern soll beim Laden des CommonJS-Einstiegspunkts in Node.js direkt aktiv werden. Betroffen sind laut der Analyse die konkreten Versionen @joyfill/[email protected] und @joyfill/[email protected]. Damit verschiebt sich das Risiko von „nur“ Build-Zeit-Skripten hin zu einer breiteren Angriffsfläche – etwa Server-seitigem Rendering, Test-Tooling oder lokalen Entwicklungsumgebungen, die „nur mal kurz“ ein Paket importieren.
Technisch basiert die Implant-Logik auf einem mehrstufigen Entschlüsselungs- und Abrufmechanismus, der verschleiert, woher die eigentliche Payload kommt. Laut den beschriebenen Abläufen startet das Paket nach dem Laden einen blockchainbasierten Dispatch und versucht zunächst, einen BSC-Transaktionshash aus einer „latest outbound“-Transaktion einer fest einprogrammierten Tron-Adresse abzuleiten. Schlägt dieser Pfad fehl, greift der Code als Fallback auf ein Aptos-Konto zurück, um ebenfalls über eine BSC-bezogene Transaktionskette verschlüsselten JavaScript-Code zu entschlüsseln und anschließend auszuführen. Entscheidend ist dabei die Nutzung unterschiedlicher Wallet-Adressen, Konten und Transaktionen für beide Zweige und damit auch für Tron, Aptos und BNB Smart Chain (BSC).
Der Schadcode ist dabei bewusst redundant aufgebaut: Neben einem in-process Zweig existiert eine zweite, getrennte Branch, die einen dedizierten, losgelösten Node.js-Prozess startet. Diese Auslagerung ist laut Einordnung „keine harmlose Rückfallebene“, sondern erlaubt es der Malware, nach dem Ende von Build-, Test- oder CLI-Kommandos weiterzulaufen. Der in-process Pfad soll dabei zunächst eine „JavaScript loader“-Komponente nachladen, die wiederum über die Blockchainauflösung einen zweiten Stage-Baustein namens „clientCode“ heranzieht. Der detached Prozess hingegen soll direkt über einen (genannten) Zielmechanismus ein weiteres JavaScript nachladen und ausführen – mit dem Ziel, dass der Angreifer die Payloads wechseln kann, ohne zwingend neue Package-Versionen veröffentlichen zu müssen.
Für die Sicherheitswirkung ist die Funktionsliste des abschließenden „clientCode“ besonders relevant, weil sie typische Privilegien und Datenzugriffe in der Entwickler-Toolchain adressiert. Die Payload soll „heavily obfuscated“ sein und dabei außerdem versuchen, Ausführung in Entwicklungs-, CI- oder Sandbox-Umgebungen zu vermeiden, indem Hostnamen wie github-runner, buildbot, buildkitsandbox oder microsoft-standard-WSL2 erkannt werden. Sobald die Ausführung nicht blockiert wird, geht es laut Analyse unter anderem um Uploads zu einem konfigurierten Upload-Host, das Nachladen zusätzlicher JavaScript-Komponenten sowie Basisinformationen über die betroffene Maschine. Darüber hinaus soll die Malware Clipboard-Daten auslesen – auf Windows über PowerShell, auf macOS über pbpaste und auf Linux über xclip oder xsel – und Status-Check-ins absetzen; ergänzt wird das durch die Fähigkeit, einen Remote-Control-Kanal aufzubauen und bereitgestellte JavaScript- oder Shell-Kommandos auszuführen, einschließlich Änderungen an Dateien, die zu Developer-Tools gehören.
Parallel dazu wird für den detached Prozess eine zweite Komponente erwähnt: Neben dem Node.js-basierten RAT soll auch ein Python-Infostealer aktiv werden, der breit Daten aus kompromittierten Systemen abgreifen kann. Dazu zählen laut Auflistung unter anderem Environment- und Host-Informationen, Windows Credential Manager- und Linux Secret Service-Daten, Browserdaten aus Chromium und Firefox, sowie Speicherstände von Browser-Erweiterungen rund um Wallets und Passwortmanager. Zusätzlich geht es um Git-Credentials, GitHub CLI-Konfigurationen, GitHub Desktop-Logs sowie lokale Metadaten und Speicherbereiche aus Microsoft Visual Studio Code. In Summe zielt das auf typische „Developer Secrets“ und Arbeitskontexte – also genau die Informationen, die nach einem Supply-Chain-Vorfall oft zur lateralen Bewegung und für weitere Persistenz genutzt werden.
Aus Sicht der Angriffsorganisation wird die Lage noch dadurch verschärft, dass die Analyse beide Fälle in eine laufende Operation nordkoreanischer Bedrohungsakteure einordnet und nicht als getrennte Kampagnen behandelt. Auch für die Veröffentlichung gilt: Die schädlichen Versionen sollen über dieselbe npm-Identität publiziert worden sein, wobei der Code bereits „zur Bundle-Zeit“ eingebracht gewesen sein soll. Gleichzeitig bleibt offen, ob der Angreifer den Zugriff über eine Kompromittierung von Entwickler-Workstations, ein Quell-Repository, eine CI-Umgebung oder über Publishing-Credentials erlangte. Für Teams heißt das: Das eigentliche Incident-Management muss nicht nur das jeweilige Paket adressieren, sondern die gesamte Integrationsstrecke – von der Quell- und Build-Pipeline bis zum Publishing-Workflow.
Praktische Sofortmaßnahmen folgen aus genau dieser Kombi aus Importzeit-Execution und Datenabgriff: Betroffene Entwickler sollten die gefährdeten Versionen aus Lockfiles, Caches, internen Mirrors, Build-Images und Deployment-Artefakten entfernen. Danach empfiehlt die Analyse, auf eine verifizierte Version zu pinnen und die Credentials zu rotieren, die in dem betroffenen Node.js-Prozess möglicherweise verwendet wurden. Als zusätzliche Risikoeinordnung lautet die Warnung sinngemäß, dass insbesondere die @joyfill/layouts-Version als fähig zu beliebiger Codeausführung im Kontext jedes Prozesses betrachtet werden sollte, der das Paket lädt – also ausdrücklich auch in Entwicklungsumgebungen, CI-Runnern, Test-Tooling, beim serverseitigen Rendern sowie in Builds. Für Security- und Engineering-Teams ist das eine klare Erinnerung: Sobald „Dependency“-Risiken nicht mehr an offensichtliche Hook-Punkte gebunden sind, müssen Detection und Hardening stärker am tatsächlichen Codepfad hängen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kompromittierte npm-Pakete von @joyfill liefern beim Import RAT-Code" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kompromittierte npm-Pakete von @joyfill liefern beim Import RAT-Code" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kompromittierte npm-Pakete von @joyfill liefern beim Import RAT-Code« bei Google Deutschland suchen, bei Bing oder Google News!