La cadena de suministro de software vuelve a estar bajo fuego. Investigadores de seguridad han detectado que dos paquetes npm publicados bajo el namespace oficial @joyfill han sido comprometidos para distribuir un troyano de acceso remoto (RAT) perteneciente a la familia de malware DEV#POPPER. Los paquetes afectados son @joyfill/layouts en su versión 0.1.2-2773.beta.0 y @joyfill/components en la 4.0.0-rc24-2773-beta.4, ambos etiquetados como versiones beta o release candidate.
Lo que hace especialmente peligroso a este incidente es su vector de infección: el código malicioso se ejecuta en tiempo de importación (import-time). Esto significa que basta con que un desarrollador añada `import '@joyfill/layouts'` o `require('@joyfill/components')` en su código para que el payload se active, sin necesidad de invocar ninguna función específica ni ejecutar scripts de instalación adicionales. El implante JavaScript resuelve código cifrado que descarga y ejecuta el RAT, otorgando al atacante control remoto sobre la máquina de la víctima.
La familia DEV#POPPER no es nueva en el panorama de amenazas. Se le atribuyen campañas previas dirigidas a desarrolladores a través de paquetes maliciosos en npm, PyPI y otros registros, a menudo suplantando librerías legítimas o inyectando código en dependencias comprometidas. Su modus operandi suele combinar ofuscación avanzada, cifrado de payloads y técnicas de persistencia que dificultan la detección por soluciones antivirus tradicionales.
Joyfill, la empresa detrás del namespace, desarrolla componentes UI para generación de formularios y documentos. Hasta el momento no han emitido comunicado oficial sobre cómo se produjo el compromiso de sus credenciales de publicación ni qué medidas de mitigación han tomado. La comunidad de seguridad recomienda a cualquier proyecto que haya instalado estas versiones específicas rotar inmediatamente todas las credenciales, auditar logs de acceso y considerar la máquina comprometida.
Este caso refuerza una tendencia alarmante: los atacantes ya no necesitan engañar al desarrollador para que instale un paquete con nombre sospechoso (typosquatting). Ahora infiltran paquetes legítimos en sus versiones pre-lanzamiento, donde la vigilancia suele ser menor. Las herramientas de análisis de dependencias como Socket, Snyk o npm audit son necesarias pero insuficientes; la firma de paquetes con claves verificables y la adopción de políticas de "zero trust" para dependencias de terceros se vuelven imperativas.
Para los equipos de ingeniería, la lección es clara: tratar cada dependencia, incluso la de un proveedor de confianza, como superficie de ataque potencial. La automatización de escaneo en pipelines CI/CD, el pinning estricto de versiones y la monitorización de anomalías en el comportamiento de red de los entornos de desarrollo son ya requisitos mínimos de higiene de seguridad.
