To joyfill-pakker på npm kjører fjernstyringstrojaner ved import

To betaversjoner i @joyfill-navnerommet på npm er kompromittert med et implantat som kjører ved import, ikke via en installasjonshook. Sikkerhetsselskapet Socket peker ut @joyfill/layouts 0.1.2-2773.beta.0 og @joyfill/components 4.0.0-rc24-2773-beta.4, og sier koden starter i det øyeblikket Node.js laster CommonJS-inngangspunktet. Et enkelt require, en testkjøring eller serverside-rendering er nok.

Leveringen går over blokkjeder. Implantatet henter en transaksjonshash fra siste utgående transaksjon på en hardkodet Tron-adresse, faller tilbake på en Aptos-konto hvis det feiler, og dekrypterer JavaScript ut av en transaksjon på BNB Smart Chain. Operatøren kan dermed bytte nyttelast uten å publisere en ny pakkeversjon. En parallell gren starter en løsrevet Node.js-prosess som henter oppstartskode fra IP-adressen 23.27.13.43.

«Dette er en redundant leveringsgren, ikke et harmløst reservealternativ. Den er løsrevet fra Node.js-prosessen som importerte pakken, og kan fortsette etter at et bygg, en test eller en CLI-kommando er avsluttet» — Socket

Nyttelasten på 77 kilobyte likner DEV#POPPER-familien og fungerer som en Node.js-RAT: den laster opp filer, henter ny JavaScript, sender statusmeldinger og leser utklippstavlen via PowerShell på Windows, pbpaste på macOS og xclip eller xsel på Linux. Den hopper over maskiner med vertsnavnene github-runner, buildbot, buildkitsandbox og microsoft-standard-WSL2, altså typiske analysemiljøer. Et sideløp er en Python-infostealer som tar Windows Credential Manager, Linux Secret Service, nettleserdata fra Chromium og Firefox, utvidelseslagring for lommebøker og passordbehandlere, Git-legitimasjon, GitHub CLI-konfigurasjon og VS Code-lagring. Socket sier til The Hacker News at både disse pakkene og ViteVenom-pakkene tidligere i juli hører til samme nordkoreanske operasjon.

Hva bør du gjøre?

1. Søk etter de to versjonsstrengene i lockfiler, cacher, interne speil, byggeimages og deploy-artefakter, ikke bare i package.json.
2. Roter legitimasjonen som har vært synlig for den aktuelle Node.js-prosessen: Git-tokens, GitHub CLI-innlogging, nettleserlagrede passord og alt som har ligget i utklippstavlen.
3. Pin til en verifisert versjon, og steng nettverksutgang under installasjon og bygg slik at et implantat som kjører ved import ikke når reléet sitt.