LONDON (IT BOLTWISE) – Sicherheitsforscher melden eine neue Supply-Chain-Attacke über den npm-Registry-Eintrag „mouse5212-super-formatter“, die lokale Dateien aus einem Claude-Arbeitsverzeichnis ausliest. Im „postinstall“-Schritt authentifiziert die Schadsoftware an GitHub und synchronisiert anschließend rekursiv die Workspace-Daten in ein vom Angreifer kontrolliertes Repository. Auffällig ist, dass dabei sogar Details des GitHub-Kontos mitsamt Token mitgeliefert werden, was auf riskantes Vorgehen und potenziell KI-unterstützte Malware-Generierung hindeutet. Unternehmen müssen ihre Build- und Abhängigkeitsprozesse nun noch stärker absichern.
Mitten im Alltag von Entwicklern wird eine scheinbar harmlose Paketinstallation zur Datenfalle: Auf der npm-Registry ist ein bösartiger Eintrag aufgetaucht, der gezielt Dateien aus dem Upload- und Output-Verzeichnis eines Claude-Tools angreift. Laut Sicherheitsrecherchen heißt das Paket „mouse5212-super-formatter“ und wird mit einer Logik geliefert, die zunächst wie ein interner Sync-Utility wirkt. Erst die Analyse zeigt den eigentlichen Zweck: lokale Inhalte werden gesammelt und über GitHub in die Infrastruktur eines Angreifers übertragen. Der Fall ist besonders brisant, weil er zeigt, wie eng moderne KI-Workflows mit klassischer Software-Distribution verzahnt sind.
Technisch folgt die Malware einem Muster, das in der Supply-Chain-Welt wiederholt beobachtet wird: Der Code tarnte sich als Schritt zur „archive deployment sync“-Validierung oder -Initialisierung und sammelt dabei zunächst einen kleinen „network status“-Schnappschuss. In Wirklichkeit wird im postinstall-Phase die entscheidende Aktion ausgelöst: Die Schadsoftware authentifiziert sich an GitHub. Dabei kommt entweder ein im Zielsystem vorgefundener GitHub-Access-Token zum Einsatz oder – als Rückfall – ein hart codierter Token. Danach prüft sie, ob ein bestimmtes Zielrepository existiert; falls nicht, wird es automatisch angelegt und anschließend werden Dateien rekursiv hochgeladen.
Damit die gestohlenen Daten für unterschiedliche „Diebstahlsessions“ unterscheidbar bleiben, speichert das Paket die Exporte in zufällig benannten Ordnern. Zusätzlich schreibt es einen gefälschten Log-Eintrag zu „network connections“, um dem Installationsoutput den Anschein von Diagnose- oder Routineaktivität zu geben. Für Blue-Teams ist das ein wichtiges Signal: Indikatoren können plausibel wirken, während der eigentliche Datenabfluss im Hintergrund läuft. Die Attacke betrifft nicht nur ein theoretisches Zielverzeichnis, sondern konkret die Annahme, dass Tools wie Claude Uploads und Outputs über definierte Pfade im Dateisystem abwickeln, etwa unter einem Mountpunkt wie „/mnt/user-data“.
Marktseitig unterstreicht der Vorfall, wie schnell sich Angriffsstrategien von „APT-typischer Tarnung“ zu pragmatischen Package-Attacken verschieben lassen. Das Paket ist nach Angaben von OX Security noch verfügbar und wurde geschätzt etwa 676-mal heruntergeladen; wie viele Installationen tatsächlich stattgefunden haben, bleibt jedoch offen. Auffällig ist außerdem, dass das GitHub-Profil, das zur Kampagne gehörte, kurz nach der ersten Veröffentlichung wieder verschwunden ist. Für die Einordnung spielt der Zeitstempel eine Rolle: Das GitHub-Konto wurde offenbar am 26. Mai 2026 angelegt, nur wenige Stunden bevor die erste bösartige Version bei npm auftauchte. Das passt zu einer koordinierten „Ready-to-collect“-Operationsstrategie.
Ein weiterer, für die Verteidigung relevanter Punkt ist das scheinbar schlechte OPSEC-Verhalten: Die Malware habe Details des Angreifer-Kontos geleakt, einschließlich eines privaten Tokens. Sicherheitsanalysten werten das als Hinweis darauf, dass der Angreifer Malware offenbar automatisiert generieren lässt – möglicherweise durch KI-gestützte Erstellung – gleichzeitig aber grundlegende Sicherheits- und Qualitätskontrollen unterlässt. In der Praxis sehen wir solche Widersprüche häufig bei schnell iterierten Kampagnen: Relevante Logik wird automatisiert, während sichere Token-Handhabung, Geheimnisrotation und Minimierung von Metadaten fehlen. Als Gegenmaßnahme sollten Teams nicht nur auf Payload-Signaturen achten, sondern auch auf auffällige postinstall-Verläufe, Git-CLI- oder API-Calls und ungewöhnliche Repository-Operationen.
Historisch ist das nicht der erste Angriff, der npm als Vertriebskanal missbraucht: Seit Jahren existieren Fälle, in denen Pakete als legitime Abhängigkeiten missbraucht werden, um Credentials zu stehlen oder Umgebungen zu manipulieren. Frühere Wellen trafen vielfach Frontend- und Backend-Setups gleichermaßen, weil moderne Build-Pipelines Code automatisch installieren. Neu ist hier weniger das Prinzip als die Zielausrichtung auf KI-Workflow-Datenpfade: Angreifer nutzen die Tatsache, dass KI-Tools in vielen Organisationen bereits mit Datei- und Upload-Mechaniken arbeiten, wodurch mehr semantisch wertvolle Daten in „user-writable“ Bereichen landen können. Genau diese Schnittstelle ist für enterprisefähige KI-Setups ein Wachstums- und Risikofaktor.
Für Unternehmen ergibt sich daraus ein klarer Handlungsrahmen, der über „Antivirus an“ hinausgeht. Relevant ist ein technischer Vergleich zwischen klassischem Perimeter-Schutz und einem modernen, pipelinezentrierten Ansatz: Selbst wenn Firewalls keinen Angriff erkennen, können npm-Installationsskripte innerhalb der Build-Umgebung Daten abziehen. Deshalb gewinnen Maßnahmen wie Dependency Pinning, signierte Artefakte (wo möglich), restriktive Git-Token-Policies mit minimalen Rechten und das Monitoring von postinstall-Aktivitäten an Gewicht. Auch sollte die Ausleitung von Dateien aus erwarteten KI-Upload-Verzeichnissen in Richtung externer Services wie GitHub in SIEM-Regeln abgebildet werden, inklusive von ungewöhnlichen Netzwerk- oder API- Mustern.
Aus regulatorischer und datenschutzbezogener Sicht verschärft der Vorfall den Druck auf nachvollziehbare Zugriffsketten: Wenn lokale Arbeitsdaten potenziell unbefugt in fremde Repositories gelangen, berührt das je nach Kontext Betriebs- und möglicherweise personenbezogene Daten. Organisationen müssen daher sicherstellen, dass ihre internen Richtlinien zu Datenminimierung, Zweckbindung und Zugriffskontrolle auch in Build- und KI-gestützten Prozessketten greifen. Der Blick nach vorn ist ebenso eindeutig: Wie bereits aus der Branche zu hören ist, senken automatisierte Angriffs- und Generierungsprozesse die Einstiegshürde. Damit werden mehr „sloppy“ Malware-Varianten erwartet, bis Registry-Plattformen strengere automatische Blockaden durchsetzen. Für Entwickler bedeutet das kurzfristig höhere Disziplin bei Dependency-Management und kurzfristige Investitionen in Observability rund um Paket-Installationen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NPM-Backdoor stiehlt Dateien aus Claude-Verzeichnis über GitHub-Upload" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NPM-Backdoor stiehlt Dateien aus Claude-Verzeichnis über GitHub-Upload" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NPM-Backdoor stiehlt Dateien aus Claude-Verzeichnis über GitHub-Upload« bei Google Deutschland suchen, bei Bing oder Google News!