Auf den Punkt: Die Pakete @joyfill/layouts@0.1.2-2773.beta.0 und @joyfill/components@4.0.0-rc24-2773-beta.4 enthalten einen JavaScript-Implant, der beim Import verschlüsselte Malware-Code auflöst und ausführt.
Zwei Beta-Versionen von npm-Paketen im @joyfill-Namespace wurden mit einem Remote-Access-Trojan (RAT) der DEV#POPPER-Familie infiziert. Die Malware wird beim Import in Node.js ausgeführt.
Die betroffenen npm-Pakete sind @joyfill/layouts in Version 0.1.2-2773.beta.0 und @joyfill/components in Version 4.0.0-rc24-2773-beta.4. Beide enthalten einen JavaScript-Implant, der zur Importzeit aktiv wird und verschlüsselten Code auflöst und ausführt.
Der Malware-Code wird mit der DEV#POPPER-Familie assoziiert, die als Remote-Access-Trojan fungiert. Dies bedeutet, dass ein Angreifer nach erfolgreicher Installation direkte Fernzugriffsfähigkeiten auf das betroffene System erhält. Der Infektionsmechanismus nutzt den npm-Installationsprozess aus — die Malware wird bereits beim Import der Pakete in Node.js-Projekte aktiviert, noch bevor die tatsächliche Anwendung lädt.
Für CTOs und Infrastruktur-Teams ist dies ein kritisches Supply-Chain-Risiko. Beta-Versionen von Paketen werden oft als weniger streng bewertet, was Angreifer ausnutzen können. Es empfiehlt sich, die Abhängigkeitsbaum der Entwicklungs- und Produktionsumgebungen umgehend auf diese spezifischen Versionen zu prüfen und zu bereinigen. Zusätzlich sollten Systeme, auf denen diese Pakete installiert wurden, auf Indikatoren von RAT-Aktivität analysiert werden.
Quelle: thehackernews.com · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.