LONDON (IT BOLTWISE) – Ein als „indexed-btree“ getarntes npm-Paket hat seinen Loader nicht über preinstall/postinstall ausgeführt, sondern zur Laufzeit direkt in Anwendungslogik versteckt. Laut Analyse wurde der Code als Teil einer Methode wie „BTree.prototype.set()“ ausgeliefert und über Payload-Dateien nachgeladen. Parallel zeigen weitere Erkenntnisse zu „PolinRider“: Angreifer nutzen kompromittierte Entwickler-Repositories, um neue Releases über Paket-Registrys zu verteilen. Für Teams bedeutet das: Schutz muss nicht nur beim Installieren greifen, sondern während der Ausführung und nach dem Deployment.
Das Sicherheitsbild in der Software-Lieferkette wird gerade weniger von „Installationshaken“ bestimmt und mehr von allem, was danach passiert. Beim npm-Paket „indexed-btree“ fällt besonders auf, dass es seine schädliche Funktion offenbar nicht als klassisches Lifecycle-Auto-Run-Szenario wie preinstall oder postinstall tarnte, sondern die bösartige Logik in normale Bibliotheksfunktionalität verlegte. Laut Checkmarx ahmte der Paketname „indexed-btree“ dabei das legitime „sorted-btree“ nach, das in Projekten als gewöhnliches B-Tree-/Index-Utility eingesetzt werden kann. Diese Art Täuschung ist nicht neu, aber die technische Platzierung der Malware ist neu im Sinne der Angriffsstrategie: Statt Install-Schritte als Auslöser zu nutzen, wird zur Laufzeit gearbeitet, wenn die Anwendung bereits im Kontext des Nutzers läuft.
Die technische Umsetzung folgt einem mehrstufigen Muster, das sich gut in bestehende Datenstrukturen einklinkt. In der Analyse wird beschrieben, dass der Loader in einer Methode wie „BTree.prototype.set()“ versteckt ist und danach „sharedLoad.min.js“ anstößt. Diese JavaScript-Datei trägt wiederum eine obfuscated erste Stufe, bevor sie weitere Ressourcen nachlädt. Auffällig ist dabei der Einsatz einer Host-Erkennung (Fingerprinting) und eines Beaconings, also das gezielte Melden von Systemdetails an externe Kanäle. Konkreter wird es bei der Transportkette: Next-Stage-Payloads sollen über die „EtherHiding“-Technik aus verschlüsselten Blobs gezogen werden, die in einem Smart-Contract auf der Sepolia-Testnet-Umgebung bereitgestellt sind. Am Ende werden die Komponenten so zusammengesetzt, dass eine zweite Stufe entsteht, und anschließend sollen schädliche Artefakte gelöscht sowie der Trigger im Paketcode entfernt werden, um Spuren zu verwischen.
Der Timing-Aspekt macht die Sache für Entscheider besonders brisant. Laut den vorliegenden Statistiken wurde „indexed-btree“ am 18. Juni 2026 erstmals im npm-Registry-Ökosystem hochgeladen und sammelte in kurzer Zeit Millionen Downloads. Als Urheber wird in den Daten ein npm-Nutzername („charlessadler25“) genannt. Zusätzlich wird eine potenzielle Monetarisierung beschrieben: Der Kampagne werden Erträge in Höhe von rund 230.933,57 Euro in Kryptowährung zugeordnet (im Text: 109 ETH). npm selbst hat das Paket und ein zugehöriges GitHub-Repository inzwischen aus dem Download-Ökosystem entfernt. Entscheidend ist aber weniger die Entfernung als die Frage, was nach der Entfernung noch als Risiko bleibt: Die Infektionskette funktioniert dort, wo Pakete bereits installiert und ausgeführt wurden – und genau dieser Zeitraum ist durch klassische Registry- oder Install-time-Kontrollen nicht vollständig abgedeckt.
Genau hier kommt die zweite zentrale Weichenstellung ins Spiel: „npm version 12“ führt laut Quelle eine Sicherheitsänderung ein, die die automatische Ausführung von Lifecycle-Skripten wie preinstall/postinstall unterbindet. Für viele bekannte Lieferkettenangriffe war das ein wichtiger Hebel, weil Malware sich häufig direkt in Installationsskripte einklinkte. Checkmarx ordnet „indexed-btree“ explizit als Gegenbeispiel ein: Es kommt ohne solche Hooks aus und läuft stattdessen komplett aus application code zur Laufzeit. Für Entwicklerteams heißt das praktisch: Selbst wenn Install-time-Scans zuverlässig sind, muss die Ausführungsumgebung prüfen, ob eine Bibliothek tatsächlich das macht, was ihre Benennung und ihr Repository suggerieren. Auf derselben Grundlage wird in der Quelle auch empfohlen, nicht nur „install-time scanning“ und das Blockieren von Lifecycle-Skripten als einzelne Maßnahme zu sehen, sondern runtime behavior analysis einzubauen, also Verhaltenserkennung, die die tatsächlichen Systemaufrufe, Netzwerkverbindungen und Datenflüsse während des Programmlaufs bewertet.
Der zweite Teil der Meldung zeigt zudem, dass Angreifer häufig nicht bei der Paketlogik ansetzen, sondern bei der Infrastruktur, die Paket-Updates ermöglicht. Beim Fall „PolinRider“ geht es laut Socket um eine nordkorea-assoziierte Kampagne, die unter anderem die Kompromittierung von Entwicklerkonten nutzt, um bösartige Inhalte in Quellcode-Repositories einzuschleusen. Typische Auslöser sind dort „Routine Developer Actions“ wie das Klonen eines Repos oder das Öffnen in einer integrierten Entwicklungsumgebung (IDE). Solche Trigger sind deshalb schwerer, weil sie wie legitime Workflows aussehen und damit gut in den Tagesablauf von Teams passen. Die Quelle beschreibt außerdem, dass Operatoren Git-Historie umschreiben, Payloads in Konfigurations- oder Font-Dateien verstecken und sogar mit bösartigen VS-Code-Auto-Run-Tasks arbeiten können.
Auch bei PolinRider wird das Motiv „stufenweiser Payload-Delivery über die Blockchain“ betont, inklusive Techniken wie „EtherHiding“ und einer Nachfolgevariante („NullReceiver“), die auf Stealth und Resistenz gegen Löschversuche abzielt. Hinzu kommt eine konkrete Anpassung der Execution Chain: In einer neueren Iteration wird stark obfuscated JavaScript direkt in „index.php“ eingefügt und über PHPs „shell_exec()“ gestartet. Das ist nicht nur ein technischer Trick, sondern ein Signal dafür, dass die Angreifer ihre Ausführungswege je nach kompromittiertem Projekt variieren – statt eine starre Delivery-Route zu verwenden. Socket spricht davon, dass Analysen der Visanduma-Organisation eine Kompromittierung seit Mitte Juni 2026 nahelegen, wobei Änderungen über den LaHiRu-Entwickleraccount eingeführt wurden. Gleichzeitig wird betont, dass die Paket-Registrierung oft eine Folge der größeren Git-basierten Intrusion ist: Erst werden Entwickler und Repositories angegriffen, dann entsteht aus den kompromittierten Releases ein weiterer Verteilungsweg.
Für die Praxis folgt daraus eine klare Konsequenz: Sicherheitskontrollen müssen sich von einer „Einzelstelle“-Logik lösen. Lifecycle-Blockaden sind sinnvoll, aber sie verschieben nur die Angriffsfläche – und Angreifer reagieren, indem sie Ausführung in scheinbar legitime Runtime-Funktionen verlagern oder über alternative Einstiegspunkte innerhalb von Projektartefakten arbeiten. In der Quelle wird das mit dem Grundsatz zusammengefasst, dass Controls attacker behavior ändern, aber nicht den grundlegenden Bedrohungsrahmen eliminieren. Für Unternehmen bedeutet das in der Roadmap: Scanning bleibt wichtig, ebenso wie restriktive Policies für Skriptausführung, aber die stärkste zusätzliche Wirkung entsteht durch mehrschichtige Kontrollen, die mindestens drei Ebenen abdecken – vor der Installation (Registry- und Artifact-Checks), während der Ausführung (Behavior, Netzwerk, Prozess-/File-Interaktionen) und nach dem Deployment (Tracing, Anomalieerkennung und schnelle Quarantäneprozesse). Gerade in Ecosystemen wie npm ist „Vertrauen nach Namen“ keine Kategorie mehr; es muss nach überprüfbarem Verhalten entschieden werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Maliziöses npm-Paket umgeht Install-Schutz: Loader zur Laufzeit getarnt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Maliziöses npm-Paket umgeht Install-Schutz: Loader zur Laufzeit getarnt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Maliziöses npm-Paket umgeht Install-Schutz: Loader zur Laufzeit getarnt« bei Google Deutschland suchen, bei Bing oder Google News!