Publicado en

Alerta de Seguridad: Paquetes npm de @joyfill comprometidos con un troyano de acceso remoto (RAT)

•Publicado enAmenazas y Malware

Nueva amenaza en la cadena de suministro de software: El caso @joyfill

En un reciente incidente que subraya la vulnerabilidad de la cadena de suministro de software, se ha detectado que dos paquetes beta del espacio de nombres @joyfill en npm han sido comprometidos. Estos paquetes fueron modificados para desplegar un troyano de acceso remoto (RAT) vinculado a la familia de malware DEV#POPPER, una amenaza frecuentemente asociada con actores estatales de Corea del Norte.

Paquetes afectados y mecanismo de infección

Los investigadores de seguridad han identificado las siguientes versiones específicas como maliciosas:

  • @joyfill/layouts@0.1.2-2773.beta.0
  • @joyfill/components@4.0.0-rc24-2773-beta.4

A diferencia de otros ataques que se activan durante la instalación (hooks de ciclo de vida de npm), este implante se ejecuta en el momento en que Node.js carga el paquete. Esto significa que el simple hecho de importar la librería en un proyecto es suficiente para activar la infección.

Innovación técnica: El uso de Blockchain como infraestructura

Uno de los aspectos más sofisticados de este ataque es su método de resolución de código. El malware utiliza transacciones en las redes de blockchain Tron, Aptos y BNB Smart Chain (BSC) para obtener y descifrar el código malicioso final. Este enfoque ofrece a los atacantes dos ventajas críticas:

  1. Resiliencia operativa: Es extremadamente difícil para los defensores dar de baja una infraestructura basada en blockchain.
  2. Flexibilidad: Permite a los atacantes cambiar el código malicioso (payload) sin necesidad de publicar una nueva versión del paquete en npm.

Capacidades del malware y riesgos para la empresa

El troyano final, una vez desplegado, funciona como un RAT de Node.js con capacidades extensas para comprometer el entorno de desarrollo y la infraestructura corporativa:

  • Exfiltración de datos: Robo de credenciales de navegadores (Chrome, Firefox), extensiones de carteras de criptomonedas y gestores de contraseñas.
  • Monitoreo de actividad: Lectura del portapapeles (clipboard) en Windows, macOS y Linux.
  • Compromiso de herramientas de desarrollo: Robo de credenciales de Git, configuraciones de GitHub CLI y almacenamiento de Microsoft Visual Studio Code.
  • Control remoto: Capacidad para ejecutar comandos de shell arbitrarios y subir archivos al servidor de los atacantes.

Recomendaciones de seguridad de Intedya

Desde el área de ciberseguridad de Intedya, instamos a las organizaciones que utilizan el ecosistema Node.js a tomar las siguientes medidas inmediatas:

  1. Auditoría de dependencias: Verifique si alguna de las versiones mencionadas se encuentra en sus archivos package-lock.json, cachés de construcción o imágenes de despliegue.
  2. Eliminación y limpieza: Elimine las versiones afectadas y fuerce el uso de versiones verificadas y estables.
  3. Rotación de credenciales: Si se confirma la presencia del paquete en un entorno activo, considere comprometidas todas las claves de API, credenciales de Git y secretos de entorno que hayan pasado por ese proceso.
  4. Seguridad en el desarrollo: Implemente herramientas de análisis de composición de software (SCA) que alerten en tiempo real sobre paquetes comprometidos o vulnerables en la cadena de suministro.

Este incidente nos recuerda que la seguridad no termina en el código propio; la confianza en las librerías de terceros debe ser validada continuamente mediante procesos de gobernanza y herramientas de seguridad avanzadas.

Fuentes