LONDON (IT BOLTWISE) – Ein massiver Angriff auf die npm-Plattform hat die Entwicklergemeinschaft erschüttert. 18 weit verbreitete Pakete, darunter chalk und debug, wurden kompromittiert, um Kryptowährungs-Wallets zu manipulieren. Die Sicherheitsfirma Aikido Security entdeckte den Angriff innerhalb von Minuten und verhinderte so größeren Schaden.
Ein beispielloser Angriff auf die npm-Plattform hat die Entwicklergemeinschaft in Alarmbereitschaft versetzt. Aikido Security hat den bisher größten Angriff auf die Lieferkette von npm-Paketen aufgedeckt. Dabei wurden 18 beliebte Pakete, darunter chalk, debug und ansi-styles, mit bösartigem Code infiziert. Diese Pakete verzeichnen zusammen über zwei Milliarden Downloads pro Woche, was die Tragweite des Angriffs verdeutlicht.
Der Angriff wurde durch die Kompromittierung des Kontos eines langjährigen Maintainers, bekannt als qix, ermöglicht. Ein Phishing-E-Mail führte zur Übernahme des Kontos, wodurch die Angreifer die Pakete manipulieren konnten. Die schnelle Reaktion von Aikido Security, die den Angriff innerhalb von fünf Minuten entdeckte und innerhalb einer Stunde meldete, verhinderte größeren Schaden.
Besonders besorgniserregend ist die Absicht des eingeschleusten Schadcodes. Anstatt Entwicklungsumgebungen oder Server zu attackieren, zielt der Code darauf ab, Kryptowährungstransaktionen im Browser zu manipulieren. Er greift in Wallet-APIs wie MetaMask und Phantom ein und verändert Transaktionsdaten, bevor Nutzer diese signieren. So wird der korrekte Empfänger angezeigt, während die Gelder an Adressen der Angreifer umgeleitet werden.
Die Malware ist in der Lage, Netzwerkverkehr und Anwendungsaufrufe abzufangen, Formate über Ethereum, Bitcoin, Solana, Tron, Litecoin und Bitcoin Cash zu erkennen und diese mit täuschend echten Adressen zu überschreiben. Da sie sowohl auf Browser- als auch auf API-Ebene operiert, können betrügerische Überweisungen legitim erscheinen.
Die vollständige Liste der kompromittierten Pakete ist lang, aber einige der am häufigsten verwendeten sind chalk (300 Millionen wöchentliche Downloads), debug (358 Millionen) und ansi-styles (371 Millionen). Andere betroffene Projekte reichen von grundlegenden Dienstprogrammen wie is-arrayish bis hin zu Formatierungsbibliotheken wie strip-ansi. Für viele Entwickler sind diese Pakete ein wesentlicher Bestandteil alltäglicher JavaScript-Anwendungen, was bedeutet, dass die bösartigen Versionen bereits weltweit in Produktionssystemen laufen könnten.
Der Maintainer bestätigte auf Bluesky, dass sein Konto nach dem Erhalt einer Phishing-E-Mail von “[email protected]” übernommen wurde. Als er begann, die infizierten Pakete zu entfernen, war der Zugriff auf sein Konto bereits verloren. Einige Pakete, wie simple-swizzle, sind laut dem neuesten Update weiterhin kompromittiert.
Die Analyse von Aikido, die mit Hackread.com geteilt wurde, zeigt, dass der Code hochintrusiv ist und Funktionen wie fetch, XMLHttpRequest und Wallet-API-Methoden modifiziert. Er verändert Transaktionsnutzlasten, Genehmigungen und sogar den Signierfluss von Solana, um Vermögenswerte ohne Wissen des Nutzers umzuleiten. In der Praxis bedeutet dies, dass ein Entwickler, der eines dieser Pakete aktualisiert hat, Nutzer dem Risiko eines Wallet-Hijackings aussetzt, während sie mit Web3-Anwendungen interagieren.
Entwicklern wird geraten, auf bekannte sichere Versionen zurückzugreifen, kürzlich aktualisierte Pakete zu überprüfen und Transaktionen genau zu überwachen, wenn ihre Anwendungen mit Kryptowährungs-Wallets interagieren. Die Situation bleibt aktiv, und Aikido veröffentlicht nun Live-Updates auf seinem offiziellen Blog.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Größter npm-Angriff: Beliebte Pakete kompromittiert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Größter npm-Angriff: Beliebte Pakete kompromittiert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Größter npm-Angriff: Beliebte Pakete kompromittiert« bei Google Deutschland suchen, bei Bing oder Google News!