Sich selbst verbreitende npm Supply Chain Attacke, die auf Entwickler-Token abzielt

Ein neuer und aktiver Angriff auf die npm-Versorgungskette wurde beobachtet, der kompromittierte Betreuer-Anmeldeinformationen missbraucht, um bösartigen Code über Pakete im Node.js-Ökosystem selbst zu verbreiten. Die Malware stiehlt Authentifizierungsmaterial (npm-Tokens, Cloud-Zugangsdaten, CI/CD-Geheimnisse, SSH-Schlüssel und Wallet-Daten) und nutzt alle entdeckten Publishing-Tokens, um sich in weitere Pakete desselben Maintainers einzuschleusen und so eine wurmartige seitliche Verbreitung zu erzeugen.

Die Kampagne wurde von Socket und StepSecurity identifiziert und betrifft mehrere Pakete, die von Namastex Labs veröffentlicht wurden, mit mindestens 16 bestätigten kompromittierten Paketen zum Zeitpunkt der Berichterstattung. Aufgrund des auf Anmeldeinformationen basierenden Verbreitungsmodells kann sich der Ausbreitungsradius in Umgebungen, in denen Entwickler oder CI-Systeme über Veröffentlichungsrechte verfügen, schnell ausweiten.

Anfängliche Kompromittierung und Ausführung der Nutzlast

Bösartiger Code wurde in legitime npm-Pakete injiziert und wird automatisch ausgeführt, wenn das Paket installiert wird. Sobald er ausgeführt wird, führt die Nutzlast eine umfangreiche geheime Erkennung auf dem Host-System durch und scannt nach:

• npm-Veröffentlichungstokens

• API-Schlüssel (Cloud-Anbieter, Registrierungen, LLM-Plattformen)

• SSH-Schlüssel und CI/CD-Anmeldeinformationen

• Kubernetes- und Docker-Konfigurationsdateien

• Im Browser gespeicherte Geheimnisse von Chrome und Firefox, einschließlich Kryptowährungs-Wallets (MetaMask, Exodus, Atomic Wallet, Phantom)

Verbreitungsmechanismus

Wenn die Malware gültige npm-Veröffentlichungsanmeldeinformationen findet (z. B. über Umgebungsvariablen oder ~/.npmrc), wird sie:

• Zählt alle npm-Pakete auf, zu deren Veröffentlichung das kompromittierte Token berechtigt ist

• Injiziert die gleiche bösartige Nutzlast in diese Pakete

• Veröffentlicht sie mit erhöhten Versionsnummern erneut

• Ermöglicht eine rekursive Infektion, wenn nachgeschaltete Entwickler die neuen Versionen installieren

Die Forscher beschreiben die Malware ausdrücklich als "Supply-Chain-Wurm", der sich nach Erhalt der Anmeldedaten ohne weiteres Zutun des Angreifers selbständig verbreiten kann.

Ökosystem-übergreifendes Risiko

Wenn die PyPI-Anmeldeinformationen auf demselben System entdeckt werden, versucht die Malware, Python-Pakete mithilfe eines .pth-basierten Persistenzmechanismus zu kompromittieren. Dadurch wird der Angriff über JavaScript hinaus ausgeweitet und zu einer Bedrohung für die gesamte Lieferkette des Ökosystems.

Bestätigte betroffene Pakete

Zum Zeitpunkt der Veröffentlichung wurden die folgenden Pakete und Versionen als bösartig bestätigt und sollten als vollständig gefährdet betrachtet werden:

• @automagik/genie (4.260421.33–4.260421.39)

• pgserve (1.1.11-1.1.13)

• @fairwords/websocket (1.0.38-1.0.39)

• @fairwords/loopback-connector-es (1.4.3-1.4.4)

• @openwebconcept/theme-owc@1.0.3

• @openwebconcept/design-tokens@1.0.3

Diese Pakete werden häufig in KI-Agentenwerkzeugen und Backend-Datendiensten verwendet, was den Wert kompromittierter Umgebungen erhöht.

Auswirkungen

• Diebstahl von Anmeldeinformationen, der zu einer Gefährdung von Cloud, CI/CD und Repository führt

• Unbefugte Veröffentlichung weiterer bösartiger Pakete

• Nachgelagerte Kompromittierung von abhängigen Anwendungen

• Verlust von geistigem Eigentum und Geheimnissen

• Diebstahl von Kryptowährungs-Geldbörsen in Entwicklerumgebungen

Indikatoren für eine Kompromittierung

Organisationen sollten nach folgenden Anzeichen suchen:

• Unerwartete npm-Paketversionsaktualisierungen ohne entsprechende Begründung für Upstream-Änderungen

• Nicht autorisierte Veröffentlichungen von Betreuer-Konten

• Zugriff auf npm-Tokens außerhalb der erwarteten CI/CD-Workflows

• Vorhandensein von unbekannten Skripten oder verschleiertem JavaScript in Abhängigkeiten

• Verdächtige ausgehende Verbindungen von Build-Pipelines nach npm-Installationen

Die schnelle Wiederveröffentlichung (mehrere bösartige Versionen innerhalb weniger Stunden) ist ein bemerkenswerter Verhaltensindikator in dieser Kampagne.

Empfohlene Abhilfemaßnahmen

• Entfernen Sie alle identifizierten bösartigen Paketversionen aus Umgebungen und Pipelines

• Rotieren Sie alle Geheimnisse, die auf den betroffenen Systemen (npm, GitHub, Cloud, CI/CD) potenziell ausgesetzt sind.

• Entziehen Sie npm-Veröffentlichungstoken und geben Sie sie mit minimalem Umfang neu aus.

• Überprüfung der Veröffentlichungshistorie für alle Betreuer-Konten

• Prüfung auf verwandte Pakete mit der gleichen public.pem-Datei, dem gleichen Webhook-Host oder dem gleichen Post-Install-Muster

Wenn Sie sich über eine der in diesem Bulletin beschriebenen Bedrohungen Sorgen machen oder Hilfe benötigen, um herauszufinden, welche Schritte Sie unternehmen sollten, um sich vor den größten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Account Manager oder nehmen Sie Kontakt mit uns auf, um zu erfahren, wie Sie Ihr Unternehmen schützen können.