Hackern werden 22 npm-RAT-Varianten mit Geldbörse-Diebstahl und permanenter Hintertür zugeschrieben

Die 22 Versionen von forge-jsxy wurden

Die 22 Versionen von forge-jsxy wurden in fünf klar definierten Entwicklungsphasen veröffentlicht. Die erste Phase, die die Versionen 1.0.66 bis 1.0.76 umfasst, enthielt das vollständige Feature-Set von forge-jsx sowie regelmäßig an Discord über rotierende Bot-Webhooks gesendete Desktop-Screenshots.

In einer zweiten Phase wurde ein webbasiertes Dateimanager eingeführt, der es den Angreifern ermöglichte, das Dateisystem der Opfer remote zu durchsuchen. Mitte Mai fügte der Betreiber WebRTC-Peer-to-Peer-Datenkanäle hinzu, was dem Angreifer einen schnelleren Weg bot, der den Haupt-WebSocket-Relay umging. Allein am 18.

Mai wurden sechs Versionen in zehn Stunden veröffentlicht, die ein Framework zur Kryptowährungs-Scannung bereitstellten, das das gesamte Dateisystem durchsuchte, um Wallet-Dateien, Seed-Phrasen und private Schlüssel zu finden.

Technischer Hintergrund

Jede Entdeckung wurde vor der Speicherung in einem versteckten Speicherbereich, der auch bei Neustarts und Paketentfernungen erhalten bleibt, mit kryptografischen Prüfungen validiert. Die letzte Phase, die am 26.

Mai mit Version 1.0.91 endete, fügte die Extraktion von Chromium-Browser-Erweiterungsdatenbanken aus 21 oder mehr Browsern hinzu, darunter Chrome, Edge, Brave und Opera. Dies zielte direkt auf Wallet-Erweiterungen wie MetaMask und Phantom ab.

Der gleiche Update brachte einen automatischen Upgrademechanismus mit, der es dem Relay-Server ermöglicht, neue Agent-Versionen schleichend und nach einem gestaffelten Zeitplan auf alle infizierten Geräte zu pushen.

Persistenz, die auch nach Paketentfernung überdauert

Persistenz, die auch nach Paketentfernung überdauert Eine der gefährlichsten Eigenschaften von forge-jsxy besteht darin, dass die Deinstallation des Pakets die Bedrohung nicht beseitigt.

Ab Version 1.0.81 kopierte die Malware ihre Agent-Dateien in einen versteckten Ordner außerhalb von node_modules, sodass eine standardmäßige npm-Deinstallation zwar die Paketliste entfernt, der Agent jedoch weiterhin im Hintergrund vollständig ausgeführt wird.

Unter Linux befindet sich das persistente Verzeichnis unter ~/.local/share/cfgmgr/.forge-jsxy/, während macOS und Windows ihre eigenen äquivalenten Pfade verwenden. Ein entsprechender Startdienst, sei es eine systemd-Einheit, ein LaunchAgent oder ein Eintrag im Task Scheduler, stellt sicher, dass der Agent nach jedem Neustart wieder gestartet wird.

Einordnung fuer Autofahrer

Entwickler, die eine beliebige Version installiert haben, sollten alle Credentials und Wallet-Schlüssel auf diesem Gerät als kompromittiert betrachten. SafeDep empfiehlt, das persistente Agent-Verzeichnis manuell zu löschen und den zugehörigen Startdienst zu entfernen, bevor das Gerät als sicher eingestuft werden kann.

Alle Nutzer browserbasierter Krypto-Wallets sollten ihre Mittel auf neue Wallets übertragen, die auf einem sauberen System generiert wurden.

Angesichts der Geschwindigkeit, mit der der Angreifer nach dem ersten Entfernen wieder aktiv wurde, ist davon auszugehen, dass ein weiteres Paket unter einem neuen Namen erwartet werden kann, wenn forge-jsxy aus dem Registry entfernt wird.

Technischer Hintergrund

Indikatoren für Kompromittierungen (IoCs): IP-Adresse: Indikator: 204.10.194.247; Beschreibung: C2-Server, gehostet bei AS206216 Advin Services LLC, Nürnberg, DE. WebSocket-URL: Indikator: ws://204[.]10[.]194[.]247:9877; Beschreibung: WebSocket-Relais-Port für Agenten-Befehlssteuerung.

HTTP-URL: Indikator: hxxp://204[.]10[.]194[.]247:8765; Beschreibung: HTTP-API-Endpunkt für die Aufnahme exfiltrierter Daten. npm-Paket: Indikator: forge-jsxy v1.0.66–v1.0.91; Beschreibung: Böswilliges npm-Paket (22 Versionen), Maintainer: jacksonkaandorp2. npm-Paket: Indikator: forge-jsx v1.0.0–v1.0.66; Beschreibung: Ursprüngliches böswilliges Paket, gleicher Kampagnenkontext, am 4.

Mai 2026 genommen. E-Mail: Indikator: jacksonkaandorp2@outlook.com; Beschreibung: E-Mail-Adresse, die mit dem Angreifer-npm-Konto jacksonkaandorp2 verknüpft ist. SHA-256-Hash: Indikator: 4938d47fe6216f8f9fee0527bf5112c04c15a9ea62f87869677619aa5400f09f; Beschreibung: Paket-Artifakt-Hash für forge-jsxy v1.0.91.

Technik und Auswirkungen

Dateipfad (Linux): Indikator: ~/.local/share/cfgmgr/.forge-jsxy/; Beschreibung: Dauerhafte Persistenzverzeichnisse für den Agenten unter Linux. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ) dargestellt, um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Experte für Cybersicherheit und Berichterstattung über Sicherheitsvorfälle.

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich Cybersicherheit sowie auf neu auftretende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Bei Motorola-Handys wurde eine vorinstallierte App entdeckt, die die Amazon-App kompromittiert, um Affiliate-Codes einzuspritzen. Angreifer können BadHost ausnutzen, um auf sensible Endpunkte von KI-Agenten-Servern zuzugreifen. CISA warnt vor einer Schwachstelle im LiteSpeed cPanel-Plugin, die bereits in Angriffen ausgenutzt wurde.