LONDON (IT BOLTWISE) – Ein offenbar KI-unterstützter Angreifer versucht, über ein bösartiges npm-Paket Dateien von Claude-Usern abzugreifen. Das Paket wird nach nur wenigen Tagen wieder aus dem Registry entfernt, doch zuvor wurden Hunderte Downloads gezählt. Der entscheidende Fehler: Der Malware-Autor leakte bei sich selbst einen privaten GitHub-Token, wodurch Forschende die gestohlenen Daten und das Vorgehen rekonstruieren konnten. Experten erwarten nun weitere, „schlampige“ Kampagnen, die ähnliche KI-Missbrauchsmuster kopieren, bis Plattformen wie npm deutlich härter automatisch blockieren.
Angriffe über die Software-Lieferkette treffen derzeit besonders jene Stellen, an denen Entwickler Künstliche Intelligenz in Workflows integrieren. In einem aktuellen Fall wird ein bösartiges npm-Paket beschrieben, das sich als Hilfswerkzeug tarnt, aber auf „Claude“-Nutzer abzielt und lokal hochgeladene Projektartefakte als Beute einsammelt. Das Paket wurde nach Berichten zufolge relativ schnell wieder aus der Registry entfernt, nachdem es auf dem Weg dorthin jedoch bereits 676-mal heruntergeladen worden war. Genau dieser kurze Zeitraum zeigt, wie schnell sich Schadcode in modernen Toolchains verbreiten kann – selbst wenn die Reaktion danach zügig erfolgt.
Technisch interessant ist dabei vor allem, wie die Malware agiert: Sie versucht nicht primär, eine KI-Instanz selbst zu kompromittieren, sondern nutzt den Entwicklermoment „zwischen“ den Systemen. Dafür greift sie auf einen Datenordner zu, der als Ablage für Dateiuploads, -downloads und Code- beziehungsweise Datenoutputs in Verbindung mit Claudes Dateiverarbeitung genannt wird. Das Schadskript authentifiziert sich anschließend bei GitHub, prüft das Vorhandensein eines Ziel-Repositories und erstellt bei Bedarf ein neues. Danach durchläuft es rekursiv ein lokales Verzeichnis und lädt Dateien über die GitHub-Contents-API hoch.
Entscheidend für die Analyse durch Security-Teams war ein eklatanter Fehler des Autors. Laut den Forschenden enthielt der Code einen privaten GitHub-Token, der in den eigenen Mechanismus zur Authentifizierung eingebaut oder zumindest unbeabsichtigt offen gelegt wurde. Dadurch konnten die OX-Security-Researcher die gestohlenen Dateien nachvollziehen, Muster im Ablauf identifizieren und eine belastbare technische Beschreibung liefern. Der Fall unterstreicht damit eine dauerhafte Lehre aus der Incident Response: Ein Leak „zur falschen Zeit“ kann aus Sicht der Angreifer die Abwehr massiv beschleunigen und die Wirkung des Angriffs relativieren – ohne jedoch den Schaden vorab zu verhindern.
Die Autoren der Untersuchung berichten außerdem, dass alle Versionen des Pakets betroffen seien und dass insbesondere mehrere Exfiltrationssitzungen möglich bleiben, weil der Code gestohlene Dateien in zufällig benannten Ordnern pro Lauf ablegt. Für die Exfiltration wird zudem base64 verwendet, was auf den ersten Blick wie ein harmloses Kodierungsdetail wirkt, jedoch praktisch das Umgehen einfacher Textprüfungen erleichtert. Zusätzlich schreibt die Malware eine scheinbar technische „Network Status“-Protokollausgabe, um den Eindruck einer Diagnose- oder Sync-Funktion zu erzeugen. Solche Täuschungsmechanismen zielen oft darauf, dass Entwickler den Ablauf nicht weiter hinterfragen.
Im Kern folgt das Vorgehen einem klassischen Muster moderner Credential- und File-Stealing-Angriffe, aber mit zwei Besonderheiten: Erstens wird die Datentransferlogik über eine bekannte Plattform wie GitHub abgewickelt, was die Täter in einen vertrauten Kommunikationskanal zwingt. Zweitens wird der Code offenbar in einer „vibe coding“-Manier erstellt, also offenbar stark durch KI-gestützte oder KI-nahe Entwicklungsassistenz beeinflusst. Genau diese Kombination erzeugt neue Angriffsflächen in der Supply-Chain: npm-Pakete sind für die CI/CD- und Developer-Experience zentral, und wer dort Vertrauen missbraucht, kann innerhalb kürzester Zeit viele Systeme erreichen. Als Vergleich aus dem Ökosystem bietet sich an, wie Unternehmen bei Docker-Images oder CI-Skripten heute stärker auf Signaturen, SBOMs und Registrierungsregeln setzen – hier zeigt sich jedoch, dass noch nicht überall konsequent gegengesteuert wird.
Aus Marktsicht wirkt der Angriff auch wie ein „Zwischenstadium“ im Rüstungswettlauf zwischen Plattformschutz und Missbrauch. Laut Forschenden sei zu erwarten, dass weitere Threat Actors in ähnlicher Weise vorgehen und dabei bewusst „sloppy malwares“ hochladen, teils mit Anleihen bei etablierten APT-Stilen, um zunächst unauffällig zu bleiben. Gleichzeitig wird ein Hinweis gegeben, dass npm künftig stärker automatisch blockieren könnte, wenn sich Muster in Schadcode und Publikationsverhalten verdichten. Für Sicherheitsanbieter und Plattformteams ist das ein Anreiz, Erkennung nicht nur auf Signaturen zu stützen, sondern stärker auf Verhaltensheuristiken, Token- und API-Nutzungsmuster sowie auf Anomalien in der Dateisystemwanderung zu reagieren.
Für Unternehmen ergibt sich daraus eine klare operative Konsequenz: Sobald ein npm-Paket verdächtig war oder als betroffene Abhängigkeit identifiziert wird, sollten GitHub-Zugriffstokens sofort widerrufen werden. Zusätzlich sollten Teams die vermuteten Upload-Ordner und ihre Build-/Run-Umgebungen auf ungewöhnliche Dateien prüfen, da ein lokaler Kompromiss oft die bessere Ausgangslage für Folgeangriffe darstellt. Hier trennt sich die „gefühlte“ Sicherheit von einer belastbaren Absicherung: Während viele Organisationen nur Paket-Checksums überwachen, müssen sie auch die Geheimnisverwaltung in Entwickler-Workflows verbessern, inklusive Least-Privilege-Token und kurzer Token-Laufzeiten. Im Vergleich dazu setzen moderne Cloud- und Endpoint-Sicherheitsprodukte inzwischen stärker auf Kontextsignale, etwa ungewöhnliche GitHub-API-Aufrufe aus Build-Prozessen.
Auch Datenschutz- und Compliance-Aspekte sind unmittelbar betroffen. Wer in der Entwicklungsumgebung Daten über einen Exfiltrationskanal wie GitHub hochlädt, berührt potenziell personenbezogene Daten, interne Projektinformationen oder vertrauliche Kundendokumente. Selbst wenn die Exfiltration technisch „nur“ Dateien betrifft, kann die rechtliche Bewertung davon abhängen, welche Inhalte tatsächlich abflossen. Unternehmen sollten daher sicherstellen, dass sie bei der Reaktion nicht nur den Schadcode entfernen, sondern auch die Datenkategorien dokumentieren, Incident-Logs sichern und – je nach Umfang – interne Meldewege und rechtliche Pflichten prüfen. Für IT- und Security-Leads ist das gerade deshalb wichtig, weil AI-gestützte Tools Dateiaustausch häufig automatisieren und damit Datenflüsse schwerer nachzuvollziehen machen.
Mit Blick in die Zukunft ist wahrscheinlich, dass sich Angriffe stärker an Entwickler-UX orientieren: Statt offensichtlicher „Russian-language comments“ oder brachialer Warnsignale werden eher neutrale Texte, generische Kommentare und unauffällige Commit-Beschreibungen genutzt, um die Aufmerksamkeit zu senken. Die Forschenden erwarten deshalb eine Welle weiterer Kampagnen, die den Einstieg über beliebte Pakete und bekannte APIs suchen. Gleichzeitig sollten Gegenmaßnahmen weiter professionalisiert werden: Paket-Scanning auf Verhaltensebene, bessere Secrets-Guardrails in IDE-Integrationen und striktere Registry-Policies können die Hürde erhöhen. Wer KI-Entwicklung in Produktion bringen will, muss dafür sorgen, dass Künstliche Intelligenz nicht nur Code schneller schreibt, sondern dass die Sicherheitsarchitektur mindestens genauso schnell mitlernt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Malware stiehlt Claude-User-„Secrets“ über npm-Paket – Angreifer leakt eigenen GitHub-Token" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Malware stiehlt Claude-User-„Secrets“ über npm-Paket – Angreifer leakt eigenen GitHub-Token" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Malware stiehlt Claude-User-„Secrets“ über npm-Paket – Angreifer leakt eigenen GitHub-Token« bei Google Deutschland suchen, bei Bing oder Google News!