Böswilliges npm-Paket verwandelt Hugging Face in Malware-CDN und Exfiltrations-Backend

Ein bösartiges npm-Paket namens js-logger-packhas wurde dabei erwischt, wie es Hugging Face, eine weit vertrauenswürdige Plattform zur Speicherung von KI-Modellen, sowohl in ein Malware-Verbreitungsnetzwerk als auch in e Ein bösartiges npm-Paket namens js-logger-packhas wurde dabei erwischt, wie es Hugging Face, eine weit vertrauenswürdige Plattform zur Speicherung von KI-Modellen, sowohl in ein Malware-Verbreitungsnetzwerk als auch in einen Backend für gestohlene Daten umwandelte.

Die Kampagne markiert einen klaren Wandel darin, wie Angreifer legitime Cloud-Dienste missbrauchen, um Lieferkettenangriffe durchzuführen und dabei unsichtbar zu bleiben. Das Paket erschien zunächst harmlos.

Als Entwickler es installierten, lud ein plausibler, aber harmloser Logger in ihr Projekt, der die eigentliche Bedrohung verbarg. Der tatsächliche Angriff begann über ein `postinstall`-Skript, das automatisch während der Installation lief.

Dieses Skript startete einen losgelösten Hintergrundprozess, sodass der sichtbare `npm install`-Befehl normal abgeschlossen wurde, während ein versteckter Downloader weiterlief.

Basierend auf dem Host-Betriebssystem holte es einen der vier bösartigen Binärdateien aus einem öffentlichen Hugging Face Repository, das vom Angreifer kontrolliert wird und als Lordplay/system-releases identifiziert wurde.

JFrog Security-Forscher identifizierten und extrahierten die eingebettete JavaScript-Payload aus allen vier Node.js Single Executable Application (SEA)-Binärdateien für Windows, macOS und Linux.