Eine einzige Sicherheitslücke, ein einzelnes Schadprogramm unter Millionen, kann die Sicherheit unzähliger Anwendungen gefährden und sowohl Geschäftsabläufe als auch die Privatsphäre der Nutzer beeinträchtigen. In diesem prekären Umfeld startete unser Team bei Xygeni eine Sicherheitsoperation, die eine erschreckende Realität aufdeckte, die viele befürchteten, aber nur wenige bestätigen konnten: die Präsenz schädlicher npm-Pakete im Rückgrat unseres digitalen Ökosystems.
Vom 13. bis 15. Januar 2024 durchbrach unser proprietärer Scan zur Erkennung von Schadcode die Fassade der Normalität und entdeckte nicht nur ein, sondern zehn heimtückische npm-Pakete. Es handelte sich dabei nicht um zufällige Angriffe, sondern um Kampagnen, die jeweils darauf abzielten, sensible Daten in die Schattenseiten des Internets zu schleusen. Diese Enthüllung ist nicht nur ein Weckruf, sondern ein dringender Appell zum Handeln für alle Beteiligten im Softwareentwicklungsprozess.
Damals war dieses Volumen noch beachtlich. Im Jahr 2026 ist es das nicht mehr. Aktuelle Ausgaben unserer Übersicht über bösartigen Code Wöchentlich werden allein auf npm und PyPI über 100 bis 200 schädliche Pakete bestätigt; im gleichen dreitägigen Zeitraum würden heute um ein Vielfaches mehr auftauchen. Die unten beschriebenen Exfiltrations- und Umgehungstechniken sind nicht verschwunden; sie wurden lediglich in einem Ausmaß industrialisiert, das Anfang 2024 niemand für möglich gehalten hätte.
Als Pioniere in der Cybersicherheit ermöglicht uns Xygenis einzigartiger Blickwinkel nicht nur, diese Bedrohungen zu erkennen, sondern auch ihre Auswirkungen genau zu verstehen. Dieser Bericht ist ein Beweis für unsere commitZiel ist es, die digitale Grenze zur Erkennung bösartiger Beweise im Code zu sichern, um eine Konvertierung bei zukünftigen Angriffen zu verhindern.
Tauchen Sie mit uns in die komplizierten Details dieser Kampagnen ein, entschlüsseln Sie die Methoden der Angreifer und erfahren Sie vor allem, wie Unternehmen ihre Abwehrmaßnahmen gegen solch heimtückische Bedrohungen stärken können.
Erste Entdeckung: Der Aurora Webmail Pro-Hack
Die erste Entdeckung unserer Untersuchung war das Paket namens aurora-webmail-pro, die von einem Benutzer mit dem Alias 0x379c. Dieser Entdeckung folgte bald die Identifizierung von vier weiteren Paketen, die alle vom selben Autor hochgeladen worden waren, bevor ihre Aktivitäten durch die Sicherheitsmaßnahmen des Registers gestoppt wurden.
Diese Pakete enthalten blog_2021@1.1.1, heatwallet@10.1.1, neuebuchung@1.1.1 und pecko@1.0.1. Bei der Untersuchung stellte sich heraus, dass jedes Paket auffallend ähnlichen Schadcode enthielt, der auf das Herausfiltern vertraulicher Benutzerinformationen abzielte.
Das Programm stellt vertrauliche Systeminformationen bezüglich des Benutzers und des Systems wieder her und erstellt mit diesen Daten einen Hexdump. Anschließend werden die Daten iteriert und für jeden Block wird eine GET-Anforderung an eine externe Site gesendet, wobei der aufgerufene Pfad der jeweilige der erstellten Blöcke ist.
Sekundäre Enthüllung: Verschiedene Taktiken bei der Verbreitung von Schadcode
Gleichzeitig mit der Entdeckung des ersten Stapels ergab unsere Untersuchung vier weitere NPM-Pakete, die von drei verschiedenen Benutzern über die Registrierung verteilt wurden.
Diese Pakete, aufgelistet als irgendjemand-deps@1.0.0, shoponline.epiroc.com@1.0.1, shoponline.epiroc.com@1.0.2 und synology-cft@10.0.0, hatten einen gemeinsamen Nenner in ihrer Codebasis – jeder war darauf ausgelegt, Benutzerinformationen abzuschöpfen. Bemerkenswerterweise unterschied sich die Methode, die in diesen Fällen zur Datenexfiltration verwendet wurde, von der der ersten Gruppe, was auf eine separate, aber ebenso schändliche Kampagne hindeutet.
Die Strategie dieser zweiten Kampagne bestand in einem direkteren Ansatz zum Sammeln vertraulicher Daten. Nach der Aktivierung startete der Schadcode in diesen Paketen eine gründliche Aufklärungsmission und extrahierte detaillierte Informationen über die Systemkonfiguration des Benutzers, persönliche Benutzerdaten und insbesondere die IP-Adresse des Systems. Diese umfassende Datensammlung zielte darauf ab, ein vollständiges Dossier über das Opfer zusammenzustellen und so die Grundlage für potenziell tiefere Eindringversuche oder gezielte Angriffe zu schaffen.
Es ist wichtig zu betonen, dass trotz der Möglichkeit, diese Pakete als Teil legitimer Sicherheitsforschungsaktivitäten zu tarnen, wie etwa solche, die darauf abzielen, Schwachstellen durch Abhängigkeitsverwirrungstaktiken aufzudecken, die Realität unverändert bleibt. Diese Pakete könnten durchaus mit böswilliger Absicht entwickelt worden sein und heimlich vertrauliche Daten sammeln und an nicht autorisierte externe Stellen übermitteln.
Sonderwarnung: Die djs13-fetcher-Anomalie und ihre Auswirkungen auf die Cybersicherheit
Während der Überprüfung der oben genannten Pakete hat unsere Plattform eine weitere Anomalie festgestellt: ein Paket namens djs13-Abrufer. Diese besondere Entdeckung unterscheidet sich von den früheren Fällen, nicht nur in ihrer Vorgehensweise, sondern auch in der Art der Bedrohung, die sie darstellt. djs13-Abrufer wurde als Initiator einer Download- und Ausführungssequenz für einen Anhang von Discord identifiziert, genauer gesagt für eine Binärdatei namens Herunterladen. Bei näherer Untersuchung durch einen automatisierten Analysedienst erhielt diese Binärdatei eine Bedrohungswert von 85/100, eine Einstufung, die es eindeutig als Malware klassifiziert.
Der Betrieb von djs13-fetcher und die anschließende Ausführung von astroia.exe unterstreichen einen ausgeklügelten und vielschichtigen Bedrohungsvektor. Die fragliche Binärdatei wurde entwickelt, um eine Reihe von Aktionen auszuführen, die auf eine tiefsitzende böswillige Absicht hindeuten:
- Prozesse des Laichsystems: Die Malware initiiert bei der Ausführung mehrere Systemprozesse. Diese Technik wird häufig verwendet, um weitere schädliche Skripte auszuführen oder sich auf dem infizierten System einen Zugang für zusätzliche Nutzdaten zu verschaffen.
- Abfragen von Systeminformationen: Es werden umfangreiche Abfragen von Systeminformationen durchgeführt. Diese Aktion zielt in der Regel darauf ab, Informationen über die Systemumgebung zu sammeln, die dazu verwendet werden können, nachfolgende Angriffe auf die spezifischen Schwachstellen des Systems zuzuschneiden.
- Durchführen von Ausweichmanövern: Am bemerkenswertesten ist vielleicht, dass astroia.exe so konzipiert wurde, dass es Abfragen der Windows Management Instrumentation (WMI) ausführt, um festzustellen, ob es in einer virtuellen Maschine (VM) ausgeführt wird. Dieses Verhalten ist eindeutig eine Ausweichaktion, die die Erkennung und Analyse durch Cybersicherheitsexperten und automatisierte Systeme verhindern soll, die häufig VMs zur Malware-Analyse verwenden.
Die zentralen Thesen
Die Entdeckung dieser 10 bösartigen npm-Pakete sowie des Sonderfalls des djs13-fetchers war ein frühes Anzeichen für ein Muster, das sich inzwischen weit über das hinaus entwickelt hat, was irgendjemand im Januar 2024 erwartet hatte.
Diese Realität unterstrich schon damals die unverzichtbare Rolle von Xygenis FrühwarndienstUnser Dienst, der potenzielle Bedrohungen in neuen npm-Paketen analysiert und sofort nach deren Veröffentlichung meldet, stellte damals einen bedeutenden Fortschritt im Bereich der proaktiven Cybersicherheit dar, und seine Logik wurde mit zunehmendem Paketvolumen immer wichtiger. Durch die frühzeitige Erkennung von Indizien für Schadsoftware, weit vor deren Veröffentlichung, … standard Mit unseren Verfahren ermöglichen wir unseren Kunden, ihre Software-Ökosysteme vor potenzieller Malware-Infiltration zu schützen, bevor diese Schaden anrichten kann. Diese Art der Erkennung läuft nun kontinuierlich: Die bestätigten Ergebnisse dieser Woche finden Sie in unserem Übersicht über bösartigen Code.
Organisationen müssen der Implementierung robuster Sicherheitsprotokolle Priorität einräumen, von regelmäßigen Code-Audits bis hin zu ausgefeilten Erkennungstools, um sich vor den raffinierten Taktiken von Cyberangreifern zu schützen. XygeniWir bleiben commitWir sind entschlossen, in diesem andauernden Kampf die Führung zu übernehmen und unsere Partner und die breitere Gemeinschaft mit dem Wissen und den Werkzeugen auszustatten, die notwendig sind, um diese heimtückischen Bedrohungen abzuwehren.
FAQ
Sind bösartige npm-Pakete auch 2026 noch ein wachsendes Problem?
Ja, und zwar deutlich. Dieser Beitrag dokumentierte zehn schädliche npm-Pakete, die innerhalb von drei Tagen im Januar 2024 gefunden wurden. Xygenis Malicious Code Digest bestätigt mittlerweile wöchentlich 100 bis über 200 schädliche Pakete auf npm und PyPI – ein Beweis dafür, dass die hier identifizierten Exfiltrations- und Umgehungstaktiken dramatisch zugenommen haben, anstatt zu verschwinden.
Wie kann ich vor der Installation überprüfen, ob ein npm-Paket schädlich ist?
Überprüfen Sie die Historie des Maintainers, kontrollieren Sie Veröffentlichungsdaten und Downloadzahlen auf Anomalien und verwenden Sie automatisierte Scans, die Exfiltrationsmuster und Ausweichverhalten erkennen, nicht nur bekannte CVE-Treffer, da die meisten bösartigen Pakete, einschließlich aller 10 hier behandelten, zum Zeitpunkt ihrer Entdeckung neu waren.
Wie kann ich vor der Installation überprüfen, ob ein npm-Paket schädlich ist?
Überprüfen Sie die Historie des Maintainers, kontrollieren Sie Veröffentlichungsdaten und Downloadzahlen auf Anomalien und verwenden Sie automatisierte Scans, die Exfiltrationsmuster und Ausweichverhalten erkennen, nicht nur bekannte CVE-Treffer, da die meisten bösartigen Pakete wie die in diesem Bericht beschriebenen zum Zeitpunkt ihrer Entdeckung neu waren.
Werden immer noch regelmäßig neue, schädliche npm-Pakete gefunden?
Ja. Xygenis Übersicht über bösartigen Code veröffentlicht jede Woche neu bestätigte bösartige npm- und PyPI-Pakete; die in diesem Bericht von 2024 dokumentierten Exfiltrations- und VM-Evasion-Techniken sind auch heute noch in den entdeckten Paketen weit verbreitet.
