BERLIN / LONDON (IT BOLTWISE) – Eine neue Malware auf dem npm-Registry-Ökosystem kapert Dateien aus dem Upload-Verzeichnis von Claude und exfiltriert sie über GitHub in ein vom Angreifer kontrolliertes Repository. Laut OX Security tarnt sich das Paket als scheinbares „Repository-Sync“-Tool und missbraucht dabei GitHub-Token, die entweder im Umfeld der Opfer stecken oder fest eingebaut sind. Besonders brisant: Details zum Kampagnenkonto samt privatem Token wurden offenbar direkt mitgeliefert. Damit steigt der Druck auf automatisierte Schutzmechanismen und auf bessere OPSEC in der Lieferkette.
Die nächste Stufe der Supply-Chain-Gefahren zeigt sich nicht als „großes“ Cyber-Event, sondern als gut getarnter Alltagsfehler in einer Softwarelieferkette: Ein bösartiges npm-Paket wurde auf der Registry entdeckt, das gezielt lokale Daten aus einem Nutzerverzeichnis ausliest und anschließend über GitHub in die Kontrolle des Angreifers überführt. Betroffen ist dabei offenbar ein spezifischer Workspace-Bereich, den Anthropics Claude zum Hintergrundhandling von Uploads und Ausgaben nutzt. Damit rückt eine Form der Exfiltration in den Fokus, die nicht nur Entwickler-Setups kompromittiert, sondern auch KI-nahe Workflows berührt, in denen sensible Dateien häufig „nebenbei“ verarbeitet werden.
Technisch folgt das Schadprogramm einer typischen, aber besonders wirksamen npm-Strategie: Im Rahmen der Installationsroutine, genauer in der postinstall-Phase, wird die eigentliche bösartige Logik nachgezogen. Das Paket tritt dabei zunächst als scheinbares Werkzeug auf, das ein GitHub-Repository „validiert“ oder „initialisiert“, ergänzt um eine harmlose Momentaufnahme des Netzwerkstatus. Im Hintergrund authentifiziert sich die Malware jedoch gegenüber GitHub – entweder über einen im Zielsystem gefundenen Zugriffstoken oder über einen als Fallback fest einprogrammierten Token. Anschließend prüft sie, ob das Ziel-Repository existiert; falls nicht, erstellt sie es und führt dann einen rekursiven Upload aller Dateien aus dem lokalen Workspace in einen Remote-Tracking-Baum durch.
Bemerkenswert ist die Zielwahl: Die Exfiltration richtet sich laut Analyse gegen den Pfad /mnt/user-data, also ein dediziertes Directory, das für den Upload- und Output-Workflow von Claude vorgesehen ist. Diese Verknüpfung ist aus Angreifersicht plausibel, weil KI-Workflows häufig Dateien aus Editor- oder Download-Verzeichnissen in kontrollierten Laufzeiten „bereitstellen“. Praktisch bedeutet das: Wer in einem solchen Setup npm-Abhängigkeiten installiert, läuft Gefahr, dass das System nicht nur Code ausführt, sondern auch produktionsnahe und personenbezogene Daten automatisiert abfließen lässt. Die Malware tarnt ihre Aktivität zusätzlich, indem sie ein gefälschtes „network connections“-Logging schreibt, sodass Beobachtungen in Leseprotokollen oder einfachen Diagnoseausgaben die eigentliche Datenübertragung verschleiern können.
Aus Marktsicht ist das Ganze ein weiteres Indiz dafür, dass die Hürde, schadhaften Code in gängige Ökosysteme einzuschleusen, weiterhin sinkt. npm, GitHub und andere Package-Registry-Ökosysteme wurden zwar in den letzten Jahren stärker gegen Missbrauch abgesichert, aber das hier beschriebene Muster zeigt, dass Attacken häufig dort entstehen, wo die Authentizität von Paketen angenommen wird – im Vertrauen auf Reviews, Berechtigungen oder „das Paket ist klein“. Im Wettbewerb der Sicherheitsanbieter und Plattformbetreiber sind dabei mehrere Linien relevant: Während Plattformschutz auf Reputation, Scanning und Sperrlisten setzt, arbeiten Teams in der Praxis mit Dependency-Pinning, SBOMs und Policies für „allowed registries“. Genau dieses Zusammenspiel wird bei solchen Kampagnen auf die Probe gestellt, weil die Malware den normalen npm-Installationspfad ausnutzt.
Auch der Zeitpunkt und die OPSEC-Qualität wirken wie eine Lehrbuchvariante, wie es nicht laufen sollte. Laut OX Security wurden Versionen mit Malware-Charakter hochgeladen, und das verknüpfte GitHub-Konto war offenbar kurz zuvor angelegt worden. Zusätzlich enthielt das Paket laut Bericht sogar selbst Details zum Kampagnenkonto einschließlich eines privaten Tokens – ein Fehler, der wie „unausgereifte“ Angriffsautomatisierung aussieht. Experten kommentieren diese Entwicklung sinngemäß als Trend: Wenn die Schwelle sinkt, werden mehr Akteure solche Kampagnen „nach Schema“ fahren und die Qualität wird eher mittelmäßig bleiben, dafür aber häufiger auftreten. OX Security beschreibt das entsprechend: „Now that the bar to create malicious code was reduced significantly, we’re going to see more threat actors getting into the game – uploading more sloppy malwares, mostly mimicking APT groups to get a slice of the cake until npm starts automatically blocking malware completely.“
Historisch ist das Muster nicht neu, aber die Nähe zu KI-Umgebungen verstärkt den Effekt. Schon seit Jahren beobachten Sicherheitsteams, dass Angreifer npm- oder PyPI-Pakete nutzen, um Token, Config-Dateien oder SSH-Schlüssel abzugreifen. Der entscheidende Unterschied liegt hier im konkreten Zielordner innerhalb einer KI-Anwendung: Es geht nicht nur um Codekompilierung oder Projektdateien, sondern um den Datentransfer entlang eines KI-Toolchains, der oft stärker automatisiert und weniger „bewusst“ vom Nutzer überwacht wird. Frühe Ansätze wie „typosquatting“ oder reine Credential-Stealer wirkten häufig auf klassische Entwickler-Workflows; heute können ähnliche Techniken unmittelbar den Datenfluss in Modell-gestützten Arbeitsprozessen kompromittieren.
Für Unternehmen und Teams mit Enterprise-Software-Charakter ist die wichtigste Lehre: Schutz darf nicht beim Paketname stehen bleiben. Eine robuste Abwehr kombiniert technische Kontrolle und Governance. Dazu gehören das strikte Vermeiden nicht vertrauenswürdiger npm-Installationspfade, der Einsatz von Build-Policies in CI/CD sowie das Monitoring von unerwartetem GitHub-Zugriff während Installationsphasen. Außerdem sollten Teams überlegen, KI-Workspaces stärker zu segmentieren: Wenn KI-Tools Verzeichnisse wie /mnt/user-data verwenden, sollten die Zugriffsrechte und die „Out-of-Band“-Möglichkeiten (z. B. Netzwerkzugriff während postinstall) so restriktiv wie möglich gestaltet werden. Diese Segmentierung ist vergleichbar mit der Isolation von Container-Workloads in Cloud-Umgebungen, nur dass sie hier auf lokalen Entwicklungs- und KI-Run-times ansetzen muss.
Rechtlich und regulatorisch berührt das Thema zudem Datenschutz und Geheimnisschutz. Exfiltration lokaler Dateien kann je nach Inhalt personenbezogene Daten, Unternehmensinformationen oder Compliance-relevante Artefakte erfassen. Selbst wenn ein Angriff nur einen kleinen Anteil an Nutzern trifft, kann er in regulierten Umfeldern (z. B. aufgrund von Aufbewahrungspflichten oder Dokumentationsanforderungen) erhebliche Folgen haben. Daraus folgt: Incident Response muss auch KI-Toolchains und Paketinstallationsereignisse einschließen. Ebenso sollten Unternehmen die Lieferkette besser dokumentieren (Stichwort SBOM) und sicherstellen, dass Security-Teams Zugriff auf installierte Abhängigkeiten, Hashes und Versionen haben, um kompromittierte Pakete schnell zu identifizieren und zu ersetzen.
Der Ausblick ist klar: Angreifer werden dieses Muster weiter variieren, weil es effizient ist—eine postinstall-getriggerte Exfiltration mit Token- missbrauch und „Repository-Sync“-Maskierung lässt sich automatisieren. Gleichzeitig werden Plattformbetreiber zunehmend gezielt blockieren müssen, etwa über Heuristiken für bösartige GitHub-API-Nutzung in Installationsskripten oder über strengere npm-Policy-Durchsetzungen. Für Entwickler entsteht daraus eine konkrete Zukunftsaufgabe: KI-gestützte Workflows werden produktiver, aber sie brauchen dieselbe Disziplin wie klassische Produktion—von Netzwerkrestriktionen bis zu kontrollierten Dependencies. Wer diese Grundlage jetzt schafft, reduziert das Risiko, dass „sloppy malwares“ in steigender Frequenz genau die Daten treffen, die KI-Systeme aus Nutzersicht am stärksten wertvoll machen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Maliziöses npm-Paket stiehlt Dateien aus dem Claude-User-Verzeichnis über GitHub" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Maliziöses npm-Paket stiehlt Dateien aus dem Claude-User-Verzeichnis über GitHub" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Maliziöses npm-Paket stiehlt Dateien aus dem Claude-User-Verzeichnis über GitHub« bei Google Deutschland suchen, bei Bing oder Google News!