Hai gói npm trong namespace @joyfill cài RAT khi import vào Node.js
"Two compromised beta npm packages in the @joyfill namespace, @joyfill/layouts@0.1.2-2773.beta.0 and @joyfill/components@4.0.0-rc24-2773-beta.4, were found to execute an import-time implant that retrieves and runs encrypted payloads via Tron, Aptos, and BNB Smart Chain transactions. The malware delivers a Node.js RAT and a detached process that can also fetch a Python infostealer, enabling credential theft, clipboard access, file upload, host reconnaissance, and remote command execution; affected users are advised to remove the packages from builds and rotate credentials."
Nguy cơ cao do RAT kích hoạt ngay khi import và có khả năng thực thi mã tùy ý trong ngữ cảnh tiến trình xây dựng/CI/server. Ngoài ra, cơ chế lấy payload qua Tron/Aptos/BSC giúp thay đổi nội dung mà không cần phát hành lại gói.
Tác động đáng kể đến chuỗi cung ứng phần mềm: có thể dẫn tới rò rỉ credential, chiếm quyền điều khiển trong môi trường phát triển/CI và làm gián đoạn quy trình phát hành. Việc phải thu hồi artifact và xoay credential có thể gây chi phí vận hành và gián đoạn lịch triển khai.
Hai phiên bản beta của các gói npm thuộc namespace @joyfill—@joyfill/layouts@0.1.2-2773.beta.0 và @joyfill/components@4.0.0-rc24-2773-beta.4—được phát hiện đã bị cài mã độc. Điểm đáng chú ý là gói chứa implant chạy ngay lúc import (khi Node.js nạp CommonJS entry point), thay vì chỉ kích hoạt qua hook vòng đời npm.
Mã độc sử dụng cấu trúc “giải mã” dựa trên giao dịch blockchain qua Tron, Aptos và BNB Smart Chain (BSC) để lấy và thực thi payload được mã hóa. Quá trình này có hai nhánh: một nhánh trong tiến trình tải payload JavaScript ~77 KB tương tự họ DEV#POPPER, và một nhánh phụ khởi chạy tiến trình Node.js tách rời để nhận thêm “boot payload” từ địa chỉ IP, rồi giải mã và eval nội dung.
Payload cuối cùng đóng vai trò Node.js RAT, có thể thu thập thông tin máy, đọc clipboard (PowerShell/pbpaste/xclip/xsel), upload tệp, thiết lập kênh điều khiển từ xa và thực thi lệnh/JavaScript do kẻ tấn công cung cấp. Nhánh tách rời cũng có thể tải Python infostealer để lấy dữ liệu như credential, dữ liệu trình duyệt và cấu hình công cụ phát triển.
Khuyến nghị: gỡ bỏ gói khỏi lockfiles, cache, mirror nội bộ, build image và artifact triển khai, khóa phiên bản sang bản đã xác minh, và xoay lại credential liên quan đến môi trường chạy Node.js bị ảnh hưởng.