KI-generierte npm-Malware enthüllt versehentlich privaten GitHub-Token von Angreifer

Das Paket verkleidete sich stillschweigend als legitimes internes Werkzeug und präsentierte sich als „archive deployment sync"-Utility. Unter dieser Fassade war es darauf ausgelegt, ein bestimmtes Verzeichnis auf dem Gerät des Opfers zu scannen und jede gefundene Datei direkt in ein entferntes GitHub-Repository hochzuladen.

Die Malware wurde 676 Mal heruntergeladen, bevor ihre wahre Natur aufgedeckt wurde, und zum Zeitpunkt der Veröffentlichung war sie noch immer auf npm aktiv. Forscher Paket und veröffentlichten eine detaillierte Analyse seines Verhaltens und seiner inneren Funktionsweise.

Ihre Erkenntnisse bestätigten, dass es sich nicht um einen raffinierten, professionellen Angriff handelte, sondern um eine ungeschickte,, die den Angreifer durch seine eigenen fahrlässigen Fehler preisgab. Der schwerwiegendste Fehler war ein im Malware-Code hinterlegter privater GitHub-Token.

Dieser Token gehörte dem Bedrohungsakteur, nicht dem Opfer, und ermöglichte den Forschern die Echtzeit-Verfolgung der Datei-Exfiltrationen. OX Security vermerkte in einem Bericht, der an