Nordkoreanische Hacker infiltrieren globale Software-Entwicklung

LONDON (IT BOLTWISE) – Eine neue Dimension der Cyberkriegsführung zeigt sich in der jüngsten Kampagne der Lazarus-Gruppe, die sich auf die Infiltration von Open-Source-Software-Ökosystemen konzentriert.

Die Lazarus-Gruppe, eine berüchtigte Hackerorganisation mit Verbindungen zu Nordkorea, hat eine beispiellose Cyber-Spionagekampagne gestartet, die sich auf die Manipulation von Open-Source-Software-Ökosystemen konzentriert. Diese Kampagne stellt eine strategische Weiterentwicklung in der staatlich geförderten Cyberkriegsführung dar, indem sie bösartigen Code direkt in beliebte Paketregister einbettet und so die Grundlage moderner Softwareentwicklung in ein Schlachtfeld für geopolitische Konflikte verwandelt.

Zwischen Januar und Juli 2025 dokumentierten Cybersicherheitsforscher die Verbreitung von 234 einzigartigen Malware-Paketen in npm- und PyPI-Repositories. Jedes dieser Pakete wurde sorgfältig entwickelt, um legitime Entwicklerwerkzeuge zu imitieren, während sie gleichzeitig hochentwickelte Spionagefähigkeiten beherbergen. Diese bösartigen Pakete fungieren als Spionageimplantate, die darauf abzielen, sensible Anmeldedaten zu stehlen, Zielsysteme zu profilieren und persistente Hintertüren in kritischen Infrastrukturen zu etablieren.

Die Dimension der Operation ist erschütternd, mit ersten Einschätzungen, die auf über 36.000 potenzielle Opfer weltweit hinweisen. Analysten von Sonatype identifizierten diese Kampagne durch ihre automatisierten Malware-Erkennungssysteme und zeigten, wie die Lazarus-Gruppe die inhärenten Vertrauensbeziehungen innerhalb von Open-Source-Entwicklungs-Workflows ausnutzt.

Die Bedrohungsakteure haben grundlegende Schwächen in der Art und Weise ausgenutzt, wie Entwickler Drittanbieter-Pakete konsumieren und integrieren, indem sie die weit verbreitete Praxis des Installierens von Abhängigkeiten ohne strenge Verifizierungs- oder Sandboxing-Protokolle ausnutzen. Der heimtückischste Aspekt der Kampagne liegt in ihrer Ausnutzung von Continuous Integration und Continuous Deployment (CI/CD)-Pipelines, wo sich bösartige Abhängigkeiten automatisch in Entwicklungsumgebungen verbreiten.

Sobald die Malware in den Abhängigkeitsbaum eines Projekts eingebettet ist, erhält sie dauerhaften Zugriff auf sensible Entwicklungsanmeldedaten, API-Tokens und proprietären Quellcode durch das Sammeln von Umgebungsvariablen und Dateisystem-Erkundungen. Die infizierten Pakete behalten ihre bösartige Funktionalität bei, während sie legitime Schnittstellen präsentieren, was es ihnen ermöglicht, über längere Zeiträume unentdeckt in Unternehmensumgebungen zu operieren.

Diese Persistenzmechanismen ermöglichen langfristige Informationsbeschaffungsoperationen und verwandeln kompromittierte CI/CD-Pipelines in eine dauerhafte Spionageinfrastruktur für nordkoreanische Cyberoperationen. Die Bedrohung durch solche Angriffe unterstreicht die Notwendigkeit, die Sicherheitsprotokolle in der Softwareentwicklung zu überdenken und zu verstärken, insbesondere in Bezug auf die Überprüfung und das Sandboxing von Drittanbieter-Paketen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!