Größter npm-Angriff: Beliebte Pakete kompromittiert

LONDON (IT BOLTWISE) – Ein massiver Angriff auf die npm-Plattform hat die Entwicklergemeinschaft erschüttert. 18 weit verbreitete Pakete, darunter chalk und debug, wurden kompromittiert, um Kryptowährungs-Wallets zu manipulieren. Die Sicherheitsfirma Aikido Security entdeckte den Angriff innerhalb von Minuten und verhinderte so größeren Schaden.

Ein beispielloser Angriff auf die npm-Plattform hat die Entwicklergemeinschaft in Alarmbereitschaft versetzt. Aikido Security hat den bisher größten Angriff auf die Lieferkette von npm-Paketen aufgedeckt. Dabei wurden 18 beliebte Pakete, darunter chalk, debug und ansi-styles, mit bösartigem Code infiziert. Diese Pakete verzeichnen zusammen über zwei Milliarden Downloads pro Woche, was die Tragweite des Angriffs verdeutlicht.

Der Angriff wurde durch die Kompromittierung des Kontos eines langjährigen Maintainers, bekannt als qix, ermöglicht. Ein Phishing-E-Mail führte zur Übernahme des Kontos, wodurch die Angreifer die Pakete manipulieren konnten. Die schnelle Reaktion von Aikido Security, die den Angriff innerhalb von fünf Minuten entdeckte und innerhalb einer Stunde meldete, verhinderte größeren Schaden.

Besonders besorgniserregend ist die Absicht des eingeschleusten Schadcodes. Anstatt Entwicklungsumgebungen oder Server zu attackieren, zielt der Code darauf ab, Kryptowährungstransaktionen im Browser zu manipulieren. Er greift in Wallet-APIs wie MetaMask und Phantom ein und verändert Transaktionsdaten, bevor Nutzer diese signieren. So wird der korrekte Empfänger angezeigt, während die Gelder an Adressen der Angreifer umgeleitet werden.

Die Malware ist in der Lage, Netzwerkverkehr und Anwendungsaufrufe abzufangen, Formate über Ethereum, Bitcoin, Solana, Tron, Litecoin und Bitcoin Cash zu erkennen und diese mit täuschend echten Adressen zu überschreiben. Da sie sowohl auf Browser- als auch auf API-Ebene operiert, können betrügerische Überweisungen legitim erscheinen.

Die vollständige Liste der kompromittierten Pakete ist lang, aber einige der am häufigsten verwendeten sind chalk (300 Millionen wöchentliche Downloads), debug (358 Millionen) und ansi-styles (371 Millionen). Andere betroffene Projekte reichen von grundlegenden Dienstprogrammen wie is-arrayish bis hin zu Formatierungsbibliotheken wie strip-ansi. Für viele Entwickler sind diese Pakete ein wesentlicher Bestandteil alltäglicher JavaScript-Anwendungen, was bedeutet, dass die bösartigen Versionen bereits weltweit in Produktionssystemen laufen könnten.

Der Maintainer bestätigte auf Bluesky, dass sein Konto nach dem Erhalt einer Phishing-E-Mail von “[email protected]” übernommen wurde. Als er begann, die infizierten Pakete zu entfernen, war der Zugriff auf sein Konto bereits verloren. Einige Pakete, wie simple-swizzle, sind laut dem neuesten Update weiterhin kompromittiert.

Die Analyse von Aikido, die mit Hackread.com geteilt wurde, zeigt, dass der Code hochintrusiv ist und Funktionen wie fetch, XMLHttpRequest und Wallet-API-Methoden modifiziert. Er verändert Transaktionsnutzlasten, Genehmigungen und sogar den Signierfluss von Solana, um Vermögenswerte ohne Wissen des Nutzers umzuleiten. In der Praxis bedeutet dies, dass ein Entwickler, der eines dieser Pakete aktualisiert hat, Nutzer dem Risiko eines Wallet-Hijackings aussetzt, während sie mit Web3-Anwendungen interagieren.

Entwicklern wird geraten, auf bekannte sichere Versionen zurückzugreifen, kürzlich aktualisierte Pakete zu überprüfen und Transaktionen genau zu überwachen, wenn ihre Anwendungen mit Kryptowährungs-Wallets interagieren. Die Situation bleibt aktiv, und Aikido veröffentlicht nun Live-Updates auf seinem offiziellen Blog.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

152,91 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, Plaud NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

152,91 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!