Hacker nutzen Hugging Face für zweistufige Malware in npm-Versorgungskettenangriff

Technik und Auswirkungen

Gestohlene Daten wurden zudem in private Hugging Face-Datensätze hochgeladen, wodurch der bösartige Datenverkehr nahtlos mit alltäglicher KI-Forschungsaktivität verschmolz und leicht der Prüfung entging.

Die npm-Wartungsaccounts, die mit den abhängigen Paketen pvnd3540749, yggedd817513 und jpeek886 verknüpft sind, spielten jeweils eine Rolle bei der Verbreitung der Infektion. Entwickler, die eines der genannten Pakete während des aktiven Zeitraums installiert haben, sollten davon ausgehen, dass ihre Umgebung kompromittiert wurde, und unverzüglich handeln.

Hacker nutzen Hugging Face. Der Einstiegspunkt des Malwares ist ein postinstall-Hook, der in der package.json-Datei des Pakets eingebettet ist. Wenn ein Entwickler npm install ausführt, öffnet der Hook leise eine Datei namens utils.cjs, die ein verschleierter Malware-Dropper ist.

Dieser prüft das Betriebssystem des Opfers

Dieser prüft das Betriebssystem des Opfers und lädt daraufhin das entsprechende Binärprogramm von Hugging Face herunter. Das heruntergeladene Binärprogramm ist eine Node.js Single Executable Application, eine zusammengefasste Datei, die das vollständige bösartige JavaScript-Implantat enthält.

Nach dem Start stellt die Komponente eine WebSocket-Verbindung zum Server des Angreifers her und gewährt dem Betreiber vollständige Maschinenkontrolle, einschließlich der Fähigkeit, Dateien zu lesen und zu schreiben, Shell-Befehle auszuführen, Screenshots aufzunehmen und Eingaben einzuspeisen.

Parallel dazu läuft ein Hintergrundprozess, der bereits bei der Initialisierung gestartet wird; dieser protokolliert kontinuierlich Tastatureingaben, abfragt den Zwischenablageinhalt und übermittelt gestohlene Daten an den HTTP-Endpunkt des Angreifers. All dies geschieht stumm, ohne dass für den Entwickler sichtbare Anzeichen erkennbar sind.

Technik und Auswirkungen

Persistenz und Selbstaktualisierungsmechanismus: Sobald der Implant auf einem Windows-System landet, installiert es sich unter dem Pfad %LOCALAPPDATA%\MicrosoftSystem64, einem Verzeichnisnamen, der absichtlich einem legitimen Microsoft-Systemordner ähnelt.

Anschließend registriert es einen Persistenzmechanismus für den Anmeldevorgang über einen versteckten VBS-Launcher und einen geplanten Task, wobei ein Registry-Run-Schlüssel als Fallback dient, falls die primären Methoden versagen.

Beim ersten Start überprüft die Malware auch, ob ein Update erforderlich ist, indem sie sich mit dem Hugging Face-Repository des Betreibers verbindet. Diese Fähigkeit zur Selbstaktualisierung ermöglicht es dem Angreifer, die Implantation stillschweigend auszutauschen oder zu aktualisieren, ohne das Opfer erneut zu infizieren.

Sicherheitslage und Risiko

Sicherheitsteams werden dringend aufgefordert, die Malware von allen infizierten Systemen sofort zu entfernen, alle Netzwerkverbindungen zu den unten aufgeführten bekannten Indikatoren für Kompromittierungen (IoCs) zu blockieren und eine vollständige Schlüsselrotation mit aktivierter Zwei-Faktor-Authentifizierung durchzuführen.

Entwickler sollten Postinstall-Skripte in unbekannten Paketen standardmäßig als unzuverlässig betrachten und in allen CI- und Build-Pipeline-Umgebungen bevorzugt lockfile-gesteuerte Installationen mittels npm ci verwenden.

Indikatoren für Kompromittierungen (IoCs): npm-Paket: Indikator: terminal-logger-utils; Beschreibung: Primäres bösartiges npm-Paket; enthält den Postinstall-Hook, der die Angriffsabfolge auslöst. npm-Paket: Indikator: pretty-logger-utils; Beschreibung: Abhängiges bösartiges Paket, das terminal-logger-utils importiert. npm-Paket: Indikator: ts-logger-pack; Beschreibung: Abhängiges bösartiges Paket, das terminal-logger-utils importiert. npm-Paket: Indikator: pinno-loggers; Beschreibung: Abhängiges bösartiges Paket, das terminal-logger-utils importiert.

Sicherheitslage und Risiko

Dateiname: Indikator: utils.cjs; Beschreibung: Obfuszierter Malware-Dropper, der vom postinstall-Hook aufgerufen wird, um die zweite Stufen-Payload herunterzuladen. Dateipfad: Indikator: %LOCALAPPDATA%\MicrosoftSystem64; Beschreibung: Pfad zur Persistenz-Installation, der vom Implant auf Windows-Maschinen verwendet wird.

Hugging-Face-Repository: Indikator: Lordplay/system-releases; Beschreibung: Vom Angreifer kontrolliertes Repository zur Hostung der zweiten Stufen Node.js SEA-Binaries. HTTP-Endpunkt: Indikator: /api/validate/keyboard-events; Beschreibung: C2-Endpunkt, den das Implant verwendet, um Tastatureingangsdaten über HTTP auszuspionieren.

Bedrohungsakteur-Konto: Indikator: jpeek895; Beschreibung: npm-Konto, das für das Hochladen des primären bösartigen Pakets verantwortlich ist. npm-Konto: Indikator: pvnd3540749; Beschreibung: Maintainer-Konto, das mit den abhängigen bösartigen Paketen verknüpft ist. npm-Konto: Indikator: yggedd817513; Beschreibung: Maintainer-Konto, das mit den abhängigen bösartigen Paketen verknüpft ist. npm-Konto: Indikator: jpeek886; Beschreibung: Maintainer-Konto, das mit den abhängigen bösartigen Paketen verknüpft ist.

Technischer Hintergrund

IP-Adresse: Indikator: 195.201.194.107; Beschreibung: WebSocket-C2-Server-Adresse, die vom Implantat zur vollständigen Maschinensteuerung verwendet wird. Hinweis: IP-Adressen und Domains sind absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Cybersecurity- und Breach-Reporter. Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und neue Bedrohungen, Datenpannen sowie Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Google veröffentlicht Exploit-Code für ein unfixiertes Chromium-Fehler, der Millionen von Nutzern gefährdet CISA warnt vor einer Schwachstelle in Trend Micro Apex One, die in Angriffen ausgenutzt wird Hacker können einen Lenovo-Treiber missbrauchen, um EDR-Prozesse zu beenden