Gefährliche npm-Pakete bedrohen macOS-Nutzer: Sicherheitslücke in Cursor entdeckt

MÜNCHEN (IT BOLTWISE) – In der Welt der Softwareentwicklung sind Sicherheitslücken keine Seltenheit, doch die jüngste Entdeckung von bösartigen npm-Paketen, die gezielt macOS-Nutzer der beliebten KI-gestützten Code-Editor-Software Cursor angreifen, sorgt für Aufsehen.

Die jüngste Entdeckung von bösartigen npm-Paketen, die gezielt macOS-Nutzer der beliebten KI-gestützten Code-Editor-Software Cursor angreifen, sorgt für Aufsehen. Diese Pakete, die sich als Entwickler-Tools tarnen, versprechen den „günstigsten Cursor API-Zugang“, stehlen jedoch in Wirklichkeit Benutzeranmeldedaten und laden verschlüsselte Nutzlasten von serverseitig kontrollierter Infrastruktur herunter. Diese werden dann genutzt, um die Hauptdatei von Cursor zu überschreiben und automatische Updates zu deaktivieren, um die Persistenz der Malware zu gewährleisten.

Die betroffenen Pakete, die weiterhin im npm-Registry verfügbar sind, wurden erstmals im Februar 2025 veröffentlicht. Das Paket „Aiide-cur“ wurde von einem Nutzer namens „aiide“ hochgeladen und als Kommandozeilen-Tool zur Konfiguration der macOS-Version von Cursor beschrieben. Zwei weitere Pakete wurden von einem Bedrohungsakteur unter dem Alias „gtr2018“ veröffentlicht. Insgesamt wurden diese Pakete über 3.200 Mal heruntergeladen.

Einmal installiert, sind die Bibliotheken darauf ausgelegt, von den Nutzern bereitgestellte Cursor-Anmeldedaten zu sammeln und eine weitere Nutzlast von einem Remote-Server abzurufen. Diese ersetzt dann legitimen Cursor-spezifischen Code durch bösartige Logik. Besonders besorgniserregend ist, dass „Sw-cur“ auch den Auto-Update-Mechanismus von Cursor deaktiviert und alle Cursor-Prozesse beendet, bevor die Anwendung neu gestartet wird, um den bösartigen Code zu aktivieren.

Diese Entdeckung unterstreicht einen wachsenden Trend, bei dem Bedrohungsakteure bösartige npm-Pakete nutzen, um schädliche Modifikationen an anderen legitimen Bibliotheken oder bereits auf Entwickler-Systemen installierter Software vorzunehmen. Dies stellt eine neue Ebene der Raffinesse dar, da die Malware auch nach der Entfernung der bösartigen Bibliotheken bestehen bleibt und Entwickler dazu zwingt, die veränderte Software erneut sauber zu installieren.

Die Bedrohung wird durch die Tatsache verschärft, dass die Angreifer versuchen, das Interesse der Entwickler an KI sowie an günstigeren Nutzungsgebühren für den Zugang zu KI-Modellen auszunutzen. Der Slogan „der günstigste Cursor API-Zugang“ zielt darauf ab, diese Gruppe anzulocken und gleichzeitig heimlich eine Hintertür zu installieren.

Um solchen neuartigen Bedrohungen in der Lieferkette entgegenzuwirken, müssen Verteidiger Pakete kennzeichnen, die Postinstallationsskripte ausführen, Dateien außerhalb von node_modules ändern oder unerwartete Netzwerkaufrufe initiieren. Diese Indikatoren sollten mit rigorosem Version-Pinning, Echtzeit-Abhängigkeits-Scannen und Datei-Integritätsüberwachung bei kritischen Abhängigkeiten kombiniert werden.

Die Enthüllung erfolgt, während Socket zwei weitere npm-Pakete entdeckt hat, die eine verschleierte Nutzlast liefern, die Kryptowährungsschlüssel, Wallet-Dateien und Handelsdaten im Zusammenhang mit einer Kryptowährungsplattform namens BullX auf macOS-Systemen absaugt. Die erfassten Daten werden an einen Telegram-Bot exfiltriert.

Diese Entwicklungen verdeutlichen die Notwendigkeit erhöhter Wachsamkeit und Sicherheitsmaßnahmen in der Softwareentwicklung, insbesondere im Hinblick auf die zunehmende Nutzung von Open-Source-Bibliotheken und die damit verbundenen Risiken.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder, KI-Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!