Malware · 61 giorni fa
Il punto debole non è più solo l’installazione: in questi pacchetti basta l’import in Node.js per attivare il codice ostile. Per chi usa npm in build pipeline o su runner CI, una dipendenza apparentemente innocua può diventare il punto di compromissione del server che la carica, con effetto anche su artefatti e ambienti di test.
Due beta package nel namespace @joyfill, @joyfill/layouts@0.1.2-2773.beta.0 e @joyfill/components@4.0.0-rc24-2773-beta.4, sono stati trovati backdoored con un implant CommonJS che recupera il payload tramite transazioni su Tron, Aptos e BSC e porta a un Node.js RAT collegato a DEV#POPPER. Le fonti indicano anche un ramo parallelo che mantiene l’esecuzione separata dal processo importante, così il payload può sopravvivere alla fine di un build o di un comando CLI.
L’uso di resolver multi-blockchain toglie di mezzo il classico server d’attacco da bloccare o sequestrare. Per questo il problema non si esaurisce nella revisione delle dipendenze: una volta importati, questi package possono lasciare esposizione su workstation di sviluppo, runner CI e artefatti di build anche se il rilascio beta non è mai entrato in produzione.
1 fonte che coprono questa storia
Two Compromised joyfill npm Packages Run RAT When Imported Into Node.js
Two @joyfill npm beta packages run an import-time implant that uses Tron, Aptos, and BSC to deliver a DEV#POPPER-linked Node.js RAT.
Part of the PlainSec briefing for 2026-07-30