LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine Kampagne offengelegt, die über 24 npm-Pakete Phishing-Seiten in vertrauenswürdige CDN-Mirror-Domains einschleust. Die Pakete enthalten dabei im Kern nur eine einzelne HTML-Datei, die nach dem Spiegeln als vollständig gerenderte Fake-Captcha-Verifikation erscheint und anschließend zu Angreifer-zugelagerten Zielen umleitet. Die Technik nutzt dabei zunächst npm-Mirror-Services wie unpkg und wechselt nach Sperrungen bei Safe Browsing auf einen öffentlichen Key-Value-Dienst als „Dead Drop Resolver“. Damit wird Infrastruktur missbraucht, statt Entwickler gezielt beim Installieren zu kompromittieren.
Die Meldung klingt auf den ersten Blick nach „klassischem“ Web-Phishing, technisch ist sie aber vor allem ein Beispiel für Infrastrukturmissbrauch: Forschende beschreiben eine Kampagne, die 24 npm-Pakete als frei zugängliche, validierte Transportform für eine HTML-Payload nutzt. Wichtig ist die Intention hinter dem Einsatz von npm: Die Pakete sollen nicht primär Installationssysteme infizieren. Stattdessen werden npm und insbesondere dessen Mirror-Mechanismen verwendet, um Inhalte dauerhaft und „vertrauenswürdig“ in Reichweite von Endnutzern zu platzieren, die auf einen gespiegelten Link klicken.
In den veröffentlichten Details wird der Ablauf klar: Die Angreifer packen pro Paket im Kern nur eine einzelne HTML-Seite. Sobald ein Mirror- bzw. CDN-Dienst wie unpkg den Inhalt ausliefert, wird aus dieser Datei eine live gerenderte Fake-Cloudflare-Verifikationsseite. Der Effekt hängt nicht von einem lokalen Schadcode ab, sondern von der Browser-Interaktion: Die Seite zeigt eine vermeintliche Sicherheitsprüfung an und leitet den Nutzer anschließend auf eine externe Ziel-URL weiter, die zur ClickFix-Phishing-Infrastruktur gehört. Dadurch kann bereits das Öffnen eines HTML-Links, der auf einem „trusted“ Domain-Schema basiert, zu ungewollten Aktionen führen.
Bei der konkreten Weiterleitung war in frühen Iterationen ein Typosquatting-Ziel im Spiel, das eine Microsoft-Login-Seite imitieren sollte (genannt wird „login.microsofte.live“). Als diese Ziel-Domain in der Folge in der Safe-Browsing-Blockliste von Google Chrome auftauchte, soll das Angreifer-Setup reagiert und auf eine neue Logik umgestellt worden sein. An dieser Stelle wird KeyVal interessant: Es handelt sich um einen kostenlosen, öffentlichen Key-Value-Store, der per REST API Werte anhand eines Keys bereitstellt. Die Forschenden beschreiben den Dienst dabei als „Dead Drop Resolver“: Aus der Sicht des Angreifers wird die legitime Funktionalität zum Fetch-Mechanismus für Umleitungsziele, also zu einem zwischengeschalteten Zustellpunkt für die später nutzerseitig aktivierte Zieladresse.
Das zentrale technische Muster besteht aus einer Kombination: Die HTML-Seite enthält sowohl die Darstellung der Fake-CAPTCHA-Prüfung als auch JavaScript, das bei Bedarf eine Anfrage an einen entfernten Dienst auslöst. Dieses entfernte Stück Logik dient dann als Entscheidungs- und Transportstufe. In den Angaben heißt es, dass die aktuell konfigurierte Remote-Logik Nutzer zwar auf die „legitime ChatGPT“-Website überträgt, der Mechanismus aber prinzipiell so gestaltet ist, dass er bei entsprechender Konfiguration auch zu ClickFix oder beliebigen anderen Phishing-Domains umschalten kann. Für Verteidigungsteams ist das deshalb relevant, weil das „Ziel“ nicht zwingend in der statischen HTML-Datei steckt, die der Mirror ausliefert, sondern dynamisch aus einer externen Quelle nachgeladen wird.
Die Forschenden ordnen das Ganze zudem in eine breitere Entwicklung ein: Ähnliche Ansätze seien bereits zuvor sichtbar gewesen. So wird auf eine frühere Kampagne mit dem Codenamen Beamglea verwiesen, in deren Rahmen offenbar 175 npm-Pakete unpkg-typische CDN-Strukturen genutzt haben, um Umleitungs-Skripte auszuliefern und so Opfer zu Credential-Harvesting-Seiten zu führen. Der wiederkehrende Nenner ist dabei nicht das einzelne Payload-Format, sondern die Idee, dass Angreifer die „Aufbewahrung“ von Code und Daten in legitimer Infrastruktur als Vorteil behandeln. Wenn Malware-Analysen sich nur auf Code konzentrieren, der direkt Daten vom betroffenen Rechner stiehlt, bleiben solche Infrastruktur-Umwege leicht unsichtbar.
Für den Markt- und Betriebsblick ist das eine klare Warnung an Teams, die Mirror-Setups nur unter dem Aspekt „CDN-Caching“ betrachten. npm-Pakete können, selbst wenn sie aus offiziellen Stores entfernt werden, in Mirror- und CDN-Umgebungen weiter erreichbar bleiben; damit verschiebt sich das Risiko von einem „Install-time“-Problem hin zu einem „Link-click“-Problem. Praktisch bedeutet das: Security-Checks sollten die ausgelieferten Inhalte auf Mirror-Domains ebenso einbeziehen wie Paket-Metadaten, und sie sollten besonders auf Muster achten, bei denen HTML-Darstellungen wie Schutzmechanismen wirken, aber Browser-Interaktionen nahtlos zu externen Endpunkten führen. Auch für die Risiko-Kommunikation in Unternehmen ist die Botschaft eindeutig: Awareness-Schulungen allein reichen nicht, wenn die Täuschung visuell und domainseitig gut „verpackt“ ist.
Gleichzeitig zeigt die beschriebene Architektur, wie Angreifer ihre Kampagnen robust machen: Wenn ein Ziel durch Safe Browsing blockiert wird, ist ein Austausch des Umleitungsmechanismus möglich, ohne die zentrale Lieferkette (die Mirror-Auslieferung) vollständig neu aufzubauen. Genau diese Entkopplung von Auslieferung und Zieladresse ist ein Lernpunkt für moderne Abwehr. Wer npm und seine Mirrors nur als Paket-Ökosystem bewertet, übersieht möglicherweise, dass sie in der Praxis auch als Dead-Drop-Resolver-Kanäle, Caching-basierte Content-Hosting-Flächen und dynamische Umschalter fungieren können. Der nächste Schritt in der Verteidigung dürfte daher weniger in der reinen Paketbereinigung liegen, sondern in der Überprüfung, was Mirror-Services tatsächlich rendern und welche externen Aufrufe die ausgelieferten Seiten anstoßen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Phishing über npm-Mirror: 24 Pakete als gestreute Fake-CAPTCHA" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Phishing über npm-Mirror: 24 Pakete als gestreute Fake-CAPTCHA" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Phishing über npm-Mirror: 24 Pakete als gestreute Fake-CAPTCHA« bei Google Deutschland suchen, bei Bing oder Google News!