LONDON (IT BOLTWISE) – Sicherheitsforscher haben 101 bösartige npm-Pakete gefunden, die Entwickler in eine WhatsApp-Abo- und Gruppenwerbekampagne namens PhantomSub ziehen. Die Pakete nutzen das WhatsApp-Open-Source-Projekt „Baileys“ und fügen betroffene Accounts ohne Einwilligung Gruppen hinzu. Insgesamt wurden sie bereits rund 490.000 Mal heruntergeladen, darunter 116.000 Downloads in den letzten 30 Tagen. Entscheidend für die Abwehr sind Erkennungspfade für die drei Malware-Varianten und das konsequente Blockieren solcher Baileys-Forks.
Die Hintergründe dieser Supply-Chain-Kampagne wirken auf den ersten Blick wie ein typisches npm-Problem: Über eine scheinbar vertraute Abhängigkeit gelangt Schadcode in den Entwicklungsworkflow. In diesem Fall haben Sicherheitsforscher einen Cluster aus 101 bösartigen npm-Paketen identifiziert, der gezielt Entwickler in eine WhatsApp-Gruppe-Subscriber-Kampagne namens „PhantomSub“ „umleitet“. Laut einer technischen Ausarbeitung der beteiligten OX-Security-Forscher wurde der Missbrauch über das WhatsApp-Open-Source-Projekt „Baileys“ umgesetzt – und damit über genau die Komponente, die viele Bot-Implementierungen für automatisierte Nachrichten und Interaktionen verwenden.
Technisch setzt der Angriff darauf, dass Baileys in vielen Projekten als legitime Bibliothek dient. Die Pakete missbrauchen die WhatsApp-Funktionalität so, dass betroffene Accounts ohne Zustimmung in Gruppen aufgenommen werden. Das betrifft nicht nur eine einmalige Aktion, sondern das fortlaufende Verhalten der installierten Software. Die Analyse beschreibt außerdem, dass die Pakete die WhatsApp-Account-Login-Sessions der betroffenen Nutzer in ihrem automatisierten Ablauf nutzen und dadurch die spätere Bot-Aktivität über den Kontext des Entwicklers steuern können.
Die Reichweite ist ein weiterer Punkt, der das Thema aus Sicht von Engineering-Teams dringlich macht: Die 101 Pakete zusammen wurden nach Angaben der Sicherheitsforscher bereits 490.000 Mal heruntergeladen; davon entfielen 116.000 Downloads auf die letzten 30 Tage. Besonders relevant: Viele dieser Pakete sind keine unabhängigen Einzelversionen, sondern bauen auf gemeinsamem Infrastrukturmaterial auf. So tauchen den Angaben zufolge wiederkehrende Kanal-IDs, Remote-Channel-Listen und identische GitHub-Bezugsquellen über Pakete mit unterschiedlichen Namen und Publishern hinweg auf. Für die Praxis heißt das: Ein einzelnes Sperren „des einen“ Pakets reicht oft nicht, weil mehrere Forks auf dieselbe Bot- und Empfängerstruktur einzahlen.
Ein Kernbestandteil der Gegenwehr liegt in der Unterscheidbarkeit der Schadcode-Varianten. OX Security beschreibt drei unterschiedliche Varianten, die jeweils anders mit der eigentlichen Abonnement- bzw. Kanal-Logik umgehen: Variante 1 (19 Pakete) holt Kanal-IDs zur Laufzeit von GitHub, Variante 2 (60 Pakete) bindet die Kanal-IDs als Klartext direkt in den Quellcode ein, und Variante 3 (14 Pakete) versteckt die Kanal-IDs im Quellcode in kodierter und obfuszierter Form. Dass zumindest ein Teil der Pakete Laufzeitdaten von GitHub bezieht, verschiebt das Problem von „statisch“ hin zu „dynamisch“: Selbst wenn ein Build-Scanner den Payload-Text nicht findet, kann die Software zur Laufzeit noch die Zielkanäle nachladen.
Welche Ziele der Kampagne zugrunde liegen, zeigt die Analyse über die so beworbenen oder abonnierten Kanäle. Unter den identifizierten Gruppen soll es sich auch um Strukturen mit Bezug zu Indonesien handeln, die Werbung für Mobile-Gaming- und App-Accounts schalten. In einzelnen Fällen werden Beiträge zusätzlich mit einer Telefonnummer verknüpft, die zu einem indonesischen WhatsApp-Business-Account („Dan“) gehört. Laut OX Security bestehen viele der Kanäle aus kleinen Bot-„Verkäufer“-Strukturen, wobei die Followerzahlen als „Social Proof“ dienen – etwa für den Verkauf von Bot-Skripten, Bot-Building-Services, „Premium“-APKs oder Social-Media-Boosting. Dass dabei auch ein Kanal namens „Neural“ (798 Follower) Resource-Sales über eine Online-Plattform für In-Game-Ressourcen bewirbt, zeigt, wie eng sich die PhantomSub-Mechanik an verschiedene Monetarisierungsmodelle koppeln lässt.
Für Teams, die npm-basierte Toolchains betreiben, lassen sich aus der beschriebenen Kampagne mehrere praxisnahe Ableitungen treffen. Erstens: Entwickler sollten prüfen, ob sie in WhatsApp-Gruppen aufgenommen wurden, und betroffene Einträge umgehend blockieren bzw. entfernen. Zweitens: Angesichts der drei Varianten sollten Detection-Regeln nicht nur auf einzelne Paketnamen zielen, sondern auf charakteristische Muster des Baileys-Missbrauchs und auf erwartetes, unerwünschtes Verhalten in der Subscription-Routine. Drittens empfehlen die Sicherheitsforscher, keine Baileys-Forks zu verwenden, die die Verbindung des persönlichen WhatsApp-Accounts erfordern. Gerade dieser letzte Punkt ist aus Security-Sicht zentral, weil die Angriffslogik oft genau dann besonders wirkungsvoll wird, wenn ein Projekt die Authentifizierung im Hintergrund an eine Drittbibliothek delegiert.
Historisch passt das Muster in eine länger laufende Entwicklung: Supply-Chain-Angriffe verlagern sich zunehmend von „klassischem“ Schadcode-Download hin zu legitim wirkenden Funktionen, die über legitime Schnittstellen Schaden anrichten. Baileys ist dabei keine „neue“ Angriffsfläche, sondern eine etablierte Schnittstelle, deren Vertrauen missbraucht wird. Der nächste Schritt für Organisationen ist deshalb weniger ein einzelnes Incident-Response-Manöver, sondern die systematische Absicherung der Abhängigkeitskette: Paketquellen prüfen, Forks und unerwartete Publisher-Identitäten überwachen, Lockfiles restriktiv managen und Build- sowie Runtime-Checks kombinieren. Genau dann verliert PhantomSub seine Wirkung, weil es auf den blinden Vertrauensvorschuss in scheinbar vertraute npm-Abhängigkeiten angewiesen bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "101 bösartige npm-Pakete missbrauchen Baileys für PhantomSub-Bots" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "101 bösartige npm-Pakete missbrauchen Baileys für PhantomSub-Bots" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »101 bösartige npm-Pakete missbrauchen Baileys für PhantomSub-Bots« bei Google Deutschland suchen, bei Bing oder Google News!