Supply-Chain-Angriff auf VS Code-Erweiterung Ethcode entdeckt

LONDON (IT BOLTWISE) – Ein kürzlich entdeckter Supply-Chain-Angriff auf die Visual Studio Code-Erweiterung Ethcode hat die Aufmerksamkeit der Cybersicherheitsgemeinschaft erregt.

Ein Supply-Chain-Angriff auf die Visual Studio Code-Erweiterung Ethcode hat die Cybersicherheitsgemeinschaft alarmiert. Diese Erweiterung, die über 6.000 Mal installiert wurde, wurde durch einen bösartigen Pull-Request auf GitHub kompromittiert. Der Angriff wurde von einem Benutzer namens Airez299 initiiert, der am 17. Juni 2025 einen Pull-Request mit dem Titel “Modernize codebase with viem integration and testing framework” einreichte. Ethcode, ursprünglich 2022 von 7finney veröffentlicht, dient zur Bereitstellung und Ausführung von Solidity-Smart-Contracts auf Ethereum Virtual Machine (EVM)-basierten Blockchains.

Der Angriff wurde durch die Einführung einer neuen npm-Abhängigkeit namens “keythereum-utils” ermöglicht, die in der package.json-Datei des Projekts hinzugefügt wurde. Diese Abhängigkeit, die inzwischen aus dem npm-Registry entfernt wurde, enthielt stark verschleierten Code, der eine unbekannte zweite Payload herunterladen konnte. Die Bedrohung wurde von ReversingLabs entdeckt, die feststellten, dass der bösartige Code in 43 Commits und etwa 4.000 Codezeilen versteckt war.

Nach der Entdeckung des Angriffs wurde die Erweiterung von Microsoft aus dem VS Code Extensions Marketplace entfernt. Nach der Entfernung der bösartigen Abhängigkeit wurde sie jedoch wiederhergestellt. Der Vorfall unterstreicht die wachsende Bedrohung durch Supply-Chain-Angriffe, bei denen öffentliche Repositories wie npm genutzt werden, um Malware direkt in Entwicklerumgebungen einzuschleusen.

Die Bedrohung durch Supply-Chain-Angriffe nimmt zu, wie Daten von Sonatype zeigen. Im zweiten Quartal 2025 wurden 16.279 Open-Source-Malware-Pakete entdeckt, was einem Anstieg von 188 % im Vergleich zum Vorjahr entspricht. Diese Angriffe zielen häufig darauf ab, sensible Informationen wie Anmeldedaten und API-Token zu stehlen oder die Integrität von Anwendungen zu sabotieren.

Der Vorfall mit Ethcode ist ein weiteres Beispiel für die zunehmende Raffinesse von Angriffen auf Entwicklerpipelines. Angreifer nutzen zunehmend das Vertrauen in Open-Source-Ökosysteme aus, um Supply-Chain-Kompromisse durchzuführen. Diese Entwicklung zeigt, wie wichtig es ist, Sicherheitsmaßnahmen in der Softwareentwicklung zu verstärken, um solche Bedrohungen zu verhindern.

Bestseller Nr. 1 - «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 - «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 - «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 - «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 - «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

79,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!