Typosquatting bei npm-Paketen: Angreifer stehlen Cloud- und CI/CD-Schlüssel

Sicherheitslage und Risiko

Der Umfang der von diesen Paketen betroffenen Ziele, die mehrere Cloud-Plattformen, CI/CD-Systeme und den npm-Registry selbst umfassen, macht dies zu einem der fortschrittlichsten bisher beobachteten npm-basierten Angriffe. Typosquattede npm-Pakete Der Angriff beginnt im Moment, in dem ein Entwickler den Befehl npm install ausführt.

Jedes Paket im Cluster verwendet einen automatischen Lebenszyklus-Hook, der bösartigen Code auslöst, ohne dass vom Opfer weitere Aktionen erforderlich sind.

Zwei Varianten dieses Stagers wurden beobachtet: eine ältere Generation, die einen externen Command-and-Control-Server kontaktiert, um ihre Last zu abrufen, und eine neuere, diskretere Generation, die stumm die legitime Bun-Laufzeitumgebung herunterlädt und diese verwendet, um ein vorab gebündeltes bösartiges Skript auszuführen, das innerhalb des npm-Tarballs versteckt ist.

Technischer Hintergrund

Die neuere Variante ist besonders besorgniserregend, da sie offensichtlichen ausgehenden Netzwerkverkehr vermeidet, der Sicherheitsüberwachungstools auslösen könnte. Statt zu Installationszeit auf einen verdächtigen Server zuzugreifen, nutzt sie stillschweigend eine legitime Laufzeitumgebung, um ihre Last auszuführen.

Das zweite Stufen-Binary scannt daraufhin 16 oder mehr AWS-Regionen ab, fragt den EC2-Metadaten-Service ab, liest Umgebungsvariablen aus und prüft, ob es innerhalb eines GitHub Actions-Pipelines läuft, um die Credential-Erfassung basierend auf den verfügbaren Zielen zu priorisieren. Gestohlene Tokens ermöglichen die Ausweitung der Supply Chain im Nachgang.

Was diese Kampagne von typischen Credential-Diebstählen unterscheidet, ist die gezielte Erfassung von npm-Publish-Tokens.

Wenn ein Angreifer die Fähigkeit erlangt,

Wenn ein Angreifer die Fähigkeit erlangt, Pakete im Namen eines legitimen Entwicklers zu veröffentlichen, kann er bösartigen Code in vertrauenswürdige Bibliotheken einfügen, ohne dass der Eigentümer davon Kenntnis nimmt, und damit die Reichweite der Kampagne weit über ihren ursprünglichen Umfang hinaus ausdehnen.

Dies erzeugt ein nachgelagertes Risiko, das sich auf Tausende anderer Projekte auswirken kann, weit über die anfänglichen 14 bösartigen Pakete in diesem Cluster hinaus. Sicherheitsteams sollten sofortige Maßnahmen ergreifen, wenn eines der betroffenen Pakete am oder nach dem 28. Mai 2026 installiert wurde.

Zu den empfohlenen Schritten gehören das Rotieren aller AWS-, Vault-, npm- und GitHub-Zugangsdaten, die möglicherweise kompromittiert wurden, das Blockieren des Ausgangsverkehrs zum C2-Domain des Angreifers auf Firewall- und DNS-Ebene sowie die Überprüfung von CI/CD-Build-Logs auf unerwartete Netzwerkverbindungen oder ungewöhnliche Downloads von Bun-Runtime durch Node.js-Prozesse.

Sicherheitslage und Risiko

Das Ausführen von `npm install` mit der Flagge `--ignore-scripts` kann zudem verhindern, dass diese Lifecycle-Hooks überhaupt ausgeführt werden, und stoppt den Angriff an seinem frühesten Eintrittspunkt, bevor sich die Payload auf die Festplatte schreibt.

Indikatoren für Kompromittierungen (IoCs): npm-Paket: Indikator: @vpmdhaj/elastic-helper (1.0.7269); Beschreibung: Typosquatting – Hilfsprogramm für ElasticSearch/OpenSearch. npm-Paket: Indikator: @vpmdhaj/devops-tools (1.0.7267); Beschreibung: Typosquatting – Einrichtung von DevOps-Tools für OpenSearch. npm-Paket: Indikator: @vpmdhaj/opensearch-setup (1.0.7267); Beschreibung: Typosquatting – Hilfsprogramm zur Einrichtung von OpenSearch. npm-Paket: Indikator: @vpmdhaj/search-setup (1.0.7268); Beschreibung: Typosquatting – Einrichtung einer Suchmaschine. npm-Paket: Indikator: opensearch-security-scanner (1.0.10); Beschreibung: Unbegrenztes Nachahmerpaket – Sicherheits-Scanner. npm-Paket: Indikator: opensearch-setup (1.0.9103); Beschreibung: Unbegrenztes Nachahmerpaket – imitiert die Repository-URL von opensearch-project. npm-Paket: Indikator: opensearch-setup-tool (1.0.9108); Beschreibung: Unbegrenztes Nachahmerpaket – imitiert die Repository-URL von opensearch-project. npm-Paket: Indikator: opensearch-config-utility (1.0.9106); Beschreibung: Unbegrenztes Nachahmerpaket – imitiert die Repository-URL von opensearch-project.

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinking zu verhindern. Die Re-Fang-Operationen sind ausschließlich in kontrollierten Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrem SIEM durchzuführen.

Sicherheitslage und Risiko

Tushar ist ein leitender Berichterstatter für Cybersicherheit und Sicherheitsverletzungen. Er spezialisiert sich auf die Berichterstattung über Nachrichten, Trends und neu auftretende Bedrohungen im Bereich der Cybersicherheit, sowie über Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Neue Schwachstelle in ChatGPT ermöglicht Angreifern, Webseiten in Phishing-Payloads umzuwandeln. Bösartiges NuGet-Paket als Sicoob SDK entwendet Bankpasswörter. Kritischer Sicherheitsupdate von Oracle – Patch für 35 neue Schwachstellen über Produkte hinweg.