Auf den Punkt: Der in joyfill-Paketen versteckte Schadcode wird bereits beim Laden des CommonJS-Einstiegspunkts ausgeführt – nicht über Lifecycle-Hooks – und nutzt eine mehrstufige Blockchain-Infrastruktur zur Payload-Zustellung, die Sicherheitsforscher einer vermutlich nordkoreanischen Operation zuordnen.
Die Beta-Versionen der npm-Pakete @joyfill/layouts (0.1.2-2773.beta.0) und @joyfill/components (4.0.0-rc24-2773-beta.4) enthalten Schadcode, der sich bei der Node.js-Modulinitialisierung ausführt und damit standardmäßige npm-Schutzmaßnahmen umgeht.
Das Sicherheitsunternehmen Socket hat zwei kompromittierte npm-Paketversionen aus dem @joyfill-Namensraum analysiert. Der eingebettete JavaScript-Schadcode wird zur Importzeit aktiv und lädt verschlüsselten Code über Blockchaintransaktionen nach – über die Netzwerke Tron, Aptos und BNB Smart Chain. Dadurch funktionieren Standard-Abwehrmaßnahmen wie die Installation mit der Option –ignore-scripts nicht, da der Code nicht über npm-Lifecycle-Hooks, sondern direkt beim CommonJS-Laden des Pakets triggert.
Socket ordnet die Infrastruktur dem Bedrohungscluster PolinRider zu, das mit der Kampagne „Contagious Interview“ verknüpft sein soll. Im April dokumentierten Checkmarx und OpenSourceMalware eine ähnliche Operation namens ViteVenom im Vite-Frontend-Ökosystem, die dieselbe Blockchain-Infrastruktur nutzte. Beide Kampagnen deuten nach Einschätzung von Sicherheitsforschern auf eine gemeinsame, vermutlich nordkoreanische Operation hin. Der Schadcode verzweigt sich in zwei parallele Auslieferungswege: Ein im selben Prozess ablaufender Zweig lädt eine etwa 77 KB große JavaScript-Payload nach, die der Malware-Familie DEV#POPPER ähnelt. Ein zweiter, unabhängiger Node.js-Prozess lädt zusätzliche Payloads von 23.27.13.43 an und kann selbst nach Abschluss von Builds oder CLI-Befehlen aktiv bleiben.
Das finale Schadprogramm (intern „clientCode“ genannt) fungiert als vollwertiger Node.js-Fernzugriffstrojaner mit umfangreichen Fähigkeiten: Es kann Dateien auf einen konfigurierten Server hochladen, weiteren JavaScript-Code nachladen, Systeminformationen sammeln und Zwischenablage-Daten auslesen (unter Windows via PowerShell, macOS via pbpaste, Linux via xclip oder xsel). Auf Hostnamen wie github-runner, buildbot, buildkitsandbox und microsoft-standard-WSL2, die üblicherweise Entwicklungs- und Testumgebungen anzeigen, verzichtet die Malware bewusst auf Ausführung. Ein beigeordneter Python-Infostealer basiert auf OmniStealer (beschrieben im April durch eSentire) und kann Anmeldedaten aus dem Windows Credential Manager, dem Linux Secret Service, Daten aus Chromium- und Firefox-Browsern, Wallet- und Passwort-Manager-Erweiterungen, Git-Zugangsdaten sowie Konfigurationen und Protokolle von GitHub CLI, GitHub Desktop und Visual Studio Code abgreifen.
Socket identifizierte beide schadhaften Versionen als von derselben npm-Identität veröffentlicht, unter Verwendung von Node.js 18.20.0 und npm 10.5.0. Der Vektor der Kompromittierung – ob Entwickler-Arbeitsplatz, Quellcode-Repository, CI-Umgebung oder gestohlene Veröffentlichungsdaten – ist noch ungeklärt.
Quelle: www.it-daily.net · Erschienen 31. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.