Bekanntes Chollima-Hackertarget: PHP-Entwickler durch kompromittiertes Packagist-Paket

Die bekannte Gruppe Chollima scheint diese

Die bekannte Gruppe Chollima scheint diese Kampagne so konzipiert zu haben, dass sie einen Entwickler nach dem anderen anspricht, anstatt flächendeckende und laute Infektionen auszulösen. Die Hackergruppe Chollima zielt mit dieser Attacke auf PHP-Entwickler ab.

Der bösartige Loader innerhalb von tailwind.js verhält sich nicht wie herkömmliche Malware, die sich an verdächtige Server wendet. Stattdessen kontaktiert er öffentliche Blockchain-Dienste, konkret TRON, Aptos und BNB Smart Chain, um verschlüsselte Lastendaten abzurufen, die in Blockchain-Transaktionsaufzeichnungen gespeichert sind.

Dieses Dead-Drop-Verfahren bedeutet, dass es keinen traditionellen Command-and-Control-Domain gibt, der blockiert werden könnte, was die Erkennung durch Standard-Sicherheitstools erheblich erschwert.

Einordnung fuer Autofahrer

Der Loader verwendet fest codierte XOR-Schlüssel zum Entschlüsseln der abgerufenen Daten und führt das Ergebnis anschließend direkt innerhalb von Node.js mit eval() aus.

Es kann zudem stillschweigend einen zweiten versteckten Prozess im Hintergrund starten, indem es die Funktion child_process.spawn() mit dem Flag windowsHide auf true aufruft, wodurch alles auf Windows-Systemen unsichtbar bleibt.

Der im Code eingebettete Kampagnenmarker global['!']='9-0264-2' ist eine bekannte Kennung, die auf frühere Operationen von Famous Chollima zurückgeht und diese direkt mit Malware-Familien wie DEV#POPPER RAT, OmniStealer sowie BeaverTail-Payloads verknüpft.

Umfang der Datenexfiltration und Risiken für

Umfang der Datenexfiltration und Risiken für Entwickler Der lokale Loader stiehlt Dateien nicht eigenständig, doch die vom Remote-Payload abgerufenen Komponenten können nahezu alle Daten auf dem Opfer-System erreichen.

Sobald der Malware-Code in Node.js ausgeführt wird, kann er Umgebungsvariablen mit Cloud-Zugangsdaten und CI-Geheimnissen auslesen, lokale Dateien wie.env-Dateien und SSH-Schlüssel kopieren, gespeicherte Tokens abrufen und zusätzliche Prozesse starten. Der eigentliche Schaden liegt im aus der Blockchain geladenen Payload und nicht im sichtbaren Code selbst.

Entwickler sollten jede unbekannte Build-Anweisung, die während eines Vorstellungsgesprächs oder einer Remote-Aufgabe erhalten wird, als potenzielles Code-Execution-Ereignis behandeln.

Technik und Auswirkungen

Bevor unbekannte PHP- oder JavaScript-Projekte ausgeführt werden, müssen Dateien wie tailwind.js, webpack.mix.js, vite.config.*, postcss.config.* und.github/workflows manuell inspiziert werden.

Sicherheitsteams sollten nach Node.js-Prozessen suchen, die während Build-Pipelines Verbindungen zu Blockchain- oder RPC-Diensten herstellen, und Organisationen sollten langfristige Cloud-Zugangsdaten nicht für branch-spezifische Builds freigegeben.

Paketverbraucher sollten stets stabile, bekannte und geprüfte Versionen verwenden und Dev-Branches nur im absolut notwendigen Fall nutzen. Die betroffene Packagist-Version wurde gemeldet und wurde nach der Offenlegung durch Socket entfernt.

Einordnung fuer Autofahrer

Indikatoren für Kompromittierungen (IoCs): Paketversion: Indikator: dev-drewroberts/feature/test-case; Beschreibung: Betroffene Dev-Version von roberts/leads auf Packagist. GitHub-Zweig: Indikator drewroberts/feature/test-case; Beschreibung: Ein bösartiger GitHub-Zweig wurde kartiert.

Dateiname: Indikator tailwind.js; Beschreibung: Die betroffene Datei enthält einen versteckten bösartigen Payload. Zweig-Commit: Indikator 6c5c3c7655ce76399af11126b7e9a9058eb2e45d; Beschreibung: Beobachteter Commit-Hash im betroffenen Zweig. URL: Indikator https://packagist.org/packages/roberts/leads; Beschreibung: URL des Packagist-Pakets.

URL: Indikator https://github.com/roberts/leads; Beschreibung: URL des betroffenen Repositories. SHA-256: Indikator 522b28a2f78771715497ba53729d4ab9a50e982322c391379f3bddf7c8cb363f; Beschreibung: Archiv-Hash. SHA-256: Indikator 96afdba882046385242cbed46871e41147c8055c5d9eff7460847b2c01a77dc3; Beschreibung: tailwind.js-Datei-Hash.

Technik und Auswirkungen

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Fügen Sie die Defang-Markierungen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wieder ein.

Tushar ist ein leitender Reporter für Cybersicherheit und Sicherheitsverletzungen. Er konzentriert sich auf die Berichterstattung über Nachrichten, Trends und neue Bedrohungen im Bereich der Cybersicherheit, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Microsoft klärt auf, dass es Sicherheitsforscher nicht verklagen wird – im Kontext der Nightmare-Eclipse-Kontroverse. Eine angebliche Schwachstelle in Meta AI auf Instagram soll die Passwort-Reset-Funktion für Konten ermöglichen. Die Windows-Netlogon-Schwachstelle für Remote Code Execution (RCE) mit 0-Click-Ausnutzung wird derzeit aktiv im Wilden ausgenutzt.