LONDON (IT BOLTWISE) – Sicherheitsforscher haben sieben bösartige npm-Packages identifiziert, die gezielt das Vite-Ökosystem über eine Supply-Chain-Attacke kompromittieren. Die Kampagne „ViteVenom“ setzt auf eine mehrstufige Blockchain-basierte Command-and-Control (C2), um einen Remote-Access-Trojaner nachzuladen. Anders als viele klassische Malware-Loader wird die Payload nicht beim Installieren, sondern beim Import zur Laufzeit aktiviert. Betroffen sind insbesondere Entwickler, die Vite-basierte Frontend-Apps bauen und unabsichtlich schädliche Abhängigkeiten einbinden.
Die neue Angriffswelle trifft ausgerechnet eine der am schnellsten gewachsenen Frontend-Infrastrukturen: Vite, ein verbreitetes Build-Tool für moderne JavaScript-Anwendungen. Sicherheitsrecherchen beschreiben sieben bösartige npm-Packages, die Teil einer Software-Supply-Chain-Kampagne sind und den typischen Workflow „npm install“ mit einem späteren, schwerer erkennbaren Ladepfad ausnutzen. Die dabei eingesetzte C2-Logik ist nicht nur „versteckt“ – sie ist so gebaut, dass Betreiber sie nur mit hohem Aufwand lahmlegen können. Die Kampagne wird von den Forschern als „ViteVenom“ eingeordnet und soll den bereits beobachteten Ansatz „ChainVeil“ erweitern.
Im Kern kombiniert das Muster Typosquatting und ein Import-Time-Loader-Verhalten. Das bedeutet: Die Pakete installieren sich zunächst unauffällig, führen ihren bösartigen Code aber erst aus, wenn Entwickler sie tatsächlich in ihrem Projekt importieren. Genau dieser Unterschied reduziert die Wirksamkeit vieler Endpoint- und Build-Scan-Detektionen, die vor allem Installationszeitfenster abdecken. Zusätzlich setzen die Angreifer auf unterschiedliche Tarnnamen und Pfade, um Varianten zu streuen: Einige traten als angebliche Tailwind-, Sass-, ORM- oder Rate-Limiting-Tools in Erscheinung, die neueste Welle fokussiert jedoch explizit Vite-nahe Entwicklerpfade. Damit verschiebt sich das Risiko stärker in Richtung Toolchain-Nähe.
Technisch auffällig ist die C2-Architektur: Laut der Analyse basiert das Vorgehen auf einem vier-tier, blockchainbasierten System, das in mehreren Netzwerken gleichzeitig verankert ist – genannt werden Tron, Aptos und Binance Smart Chain (BSC). Der Loader funktioniert dabei wie ein mehrstufiger „Beacon“-Mechanismus, der zunächst eine On-Chain-Referenz beschafft und daraus die nächste Stufe ableitet. Konkret wird etwa über die Tron-Blockchain die „neueste Transaktion“ vom Wallet des Angreifers abgefragt, anschließend das Transaktions-Datenfeld dekodiert, daraus ein BSC-Transaktionshash extrahiert und im nächsten Schritt das verschlüsselte Payload-Fenster aus einem Input-Feld gewonnen.
Entscheidend: Die Verschlüsselung soll mittels eines hard-coded Keys entschlüsselt werden, und statt domainbasierter URLs speichern die Angreifer die Payload-Pointer direkt in öffentlichen Blockchain-Transaktionen. Das erschwert die typische Abwehr über Domain-Takedowns oder das Sperren einzelner Infrastruktur-Hosts, weil die „Adresse“ der nächsten Stufe nicht zentral kontrolliert wird. Scheitert die Tron-basierte Abfrage, greift Aptos als Backup – ein Design, das Ausfälle abfedert und die Verfügbarkeit der Angriffslogik erhöht. Danach holt die Payload erneut On-Chain-Konfiguration und einen nächsten Loader, der den eigentlichen Remote-Access-Trojaner (u. a. Reverse-Shell, Credential Harvesting, Datei-Exfiltration) starten kann. Eine zusätzliche Fallback-Route lädt den RAT direkt per HTTP von der C2-Serverseite nach, wodurch die Kampagne in unterschiedlichen Umgebungen weiter funktioniert.
Marktseitig zeigt die Fallstudie, wie schnell sich Supply-Chain-Angriffe im npm-Umfeld weiterentwickeln. Klassische Abwehrmechanismen wie Paket-Signaturen oder reine Reputation-Checks reichen allein nicht aus, wenn der schädliche Code erst beim Import aktiv wird und die entscheidenden Parameter On-Chain nachlädt. Für Teams, die auf „secure dependency management“ setzen, wird der Unterschied zwischen reinen SCA-Scans (Software Composition Analysis) und dynamischeren Prüfungen deutlich: Werkzeuge wie Dependabot (GitHub), Snyk oder Sonatype setzen zwar starke Akzente, doch ihr Schutzfenster hängt davon ab, ob die Erkennung den Ausführungspfad abdeckt. Branchenanalysten ordnen solche Kampagnen als Signal, dass KI-gestützte oder regelbasierte Policy-Enforcement in CI/CD künftig stärker im Fokus steht.
Ein weiterer strategischer Baustein ist das „Scoped“-Design. Anders als beim früheren ChainVeil-Cluster, das unscoped Typosquats mit Beispielen wie „rate-limit-flexible“ genutzt haben soll, greifen die neuen Pakete gezielt zu scoped Namen, um die „@vitejs/*“-Anmutung nachzuahmen. In der Praxis heißt das: Der Angreifer versucht, visuelle und organisatorische Abnahmeschranken zu umgehen, etwa indem Pull-Requests und Review-Prozesse weniger skeptisch auf scheinbar „offizielle“ Namensräume reagieren. Die identifizierten Pakete wurden zwischen 29. Juni und 3. Juli 2026 publiziert; dabei berichten die Forscher von Downloads im vierstelligen Bereich bis hin zu deutlich niedrigeren zweistelligen Werten. Genau diese Streuung erschwert das schnelle Stoppen über rein volumetrische Sperren.
Für Unternehmen, die Vite-basierte Frontends in größeren Produktlinien betreiben, ist die unmittelbare Abwehr klar: betroffene Abhängigkeiten sofort entfernen, den Dependency-Tree prüfen und sicherstellen, dass keine transitive Referenz nachlädt. Da Credential Harvesting und persistente Backdoor-Injektionen adressiert werden, reicht „nur“ das Entfernen der Packages nicht aus. Empfohlen wird außerdem eine Rotation aller Credentials sowie ein gezielter Check auf unautorisierte Änderungen an Shell-Startdateien wie.bashrc, .zshrc und.profile. Zusätzlich sollten Teams ihre Build- und Deploy-Pipelines so umstellen, dass „lockfiles“ und Hash-basierte Installationsregeln die exakte Version reproduzierbar machen – das reduziert „Silent Update“-Effekte und unterstützt forensische Nachvollziehbarkeit.
Aus regulatorischer und datenschutzbezogener Sicht rückt dabei ein zweiter Punkt nach vorn: Sobald ein RAT Credentials exfiltriert oder Dateien abzieht, können personenbezogene Daten betroffen sein – auch wenn die betroffene App „nur“ ein Frontend ist. Damit entsteht eine Pflicht zur Risikobewertung, Protokollierung und gegebenenfalls Meldung, je nach Rechtsraum und Organisationsregeln. Für die Zukunft ist zudem wahrscheinlich, dass Angreifer ähnliche On-Chain-Loader weiter verfeinern: Je häufiger C2-Schlüssel und Payload-Pointer in öffentlichen Netzwerken genutzt werden, desto mehr verschiebt sich der Schwerpunkt der Verteidigung hin zu Signatur- und Policy-Checks auf Artefaktebene sowie zu Laufzeit-Introspektion im Build-Prozess. Entwickler bekommen dadurch eine klare Chance: Mit strengeren Dependency-Gates, Isolierung des Build-Users und konsequenten Secrets-Policies lässt sich die Angriffsfläche deutlich reduzieren, bevor der Loader überhaupt aktiv wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Maliziöse Vite-npm-Packages nutzen Blockchain-C2 für RAT-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Maliziöse Vite-npm-Packages nutzen Blockchain-C2 für RAT-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Maliziöse Vite-npm-Packages nutzen Blockchain-C2 für RAT-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!