LONDON (IT BOLTWISE) – Ein neuer Angriff auf die Software-Lieferkette hat über 40 npm-Pakete kompromittiert. Diese Attacke zielt darauf ab, Entwickleranmeldedaten zu stehlen und sie an einen externen Server zu senden. Entwickler sind aufgefordert, ihre Umgebungen zu überprüfen und gefährdete Tokens zu rotieren.
Heutige Tagesdeals bei Amazon! ˗ˋˏ$ˎˊ˗
Ein neuer Angriff auf die Software-Lieferkette hat die npm-Registry ins Visier genommen und über 40 Pakete kompromittiert, die von verschiedenen Entwicklern betreut werden. Diese Attacke nutzt eine Funktion namens NpmModule.updatePackage, um ein Paket-Tarball herunterzuladen, die package.json zu modifizieren, ein lokales Skript (bundle.js) einzufügen, das Archiv neu zu packen und es erneut zu veröffentlichen. Dadurch wird eine automatische Trojanisierung von nachgelagerten Paketen ermöglicht.
Das Hauptziel der Kampagne ist es, Entwicklerrechner nach Geheimnissen zu durchsuchen, indem TruffleHog’s Credential Scanner eingesetzt wird, um diese an einen externen Server unter der Kontrolle des Angreifers zu übermitteln. Der Angriff ist in der Lage, sowohl Windows- als auch Linux-Systeme zu kompromittieren. Zu den betroffenen Paketen gehören unter anderem angulartics2, @ctrl/deluge und @nativescript-community/gesturehandler.
Das bösartige JavaScript (bundle.js), das in jedes der trojanisierten Pakete injiziert wird, ist darauf ausgelegt, TruffleHog herunterzuladen und auszuführen, ein legitimes Tool zur Geheimniserkennung. Es scannt den Host nach Tokens und Cloud-Zugangsdaten wie GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID und AWS_SECRET_ACCESS_KEY. Es validiert npm-Tokens mit dem whoami-Endpunkt und interagiert mit GitHub-APIs, wenn ein Token verfügbar ist.
Entwickler werden dringend aufgefordert, ihre Umgebungen zu überprüfen und npm-Tokens sowie andere exponierte Geheimnisse zu rotieren, falls die genannten Pakete mit Veröffentlichungscodes vorhanden sind. Die Workflow-Datei, die in Repositories geschrieben wird, bleibt über den ursprünglichen Host hinaus bestehen. Sobald sie committet ist, kann jeder zukünftige CI-Lauf den Exfiltrationsschritt innerhalb der Pipeline auslösen, wo sensible Geheimnisse und Artefakte von Natur aus verfügbar sind.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
Stellenangebote
KI Manager Regulatorik (m/w/d)
Partner & Program Manager Data & AI (m/f/d)
Product Owner/Manager for AI Solutions (m/f/d)
Senior Manager Daten und KI-Governance (m/w/d)
- Die nächste Stufe der Evolution
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
- Krauss, Patrick(Autor)
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sicherheitslücke in npm: Über 40 Pakete betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sicherheitslücke in npm: Über 40 Pakete betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sicherheitslücke in npm: Über 40 Pakete betroffen« bei Google Deutschland suchen, bei Bing oder Google News!