BEDROHUNG
Ein npm-Nutzer namens „abdrizak“ veröffentlichte innerhalb eines Monats drei bösartige Pakete, die einen Remote-Access-Trojaner für Windows verteilen. Die Pakete kamen zusammen auf mehr als 1.000 Downloads und blieben über die npm-Registry abrufbar.
Betroffen sind laut JFrog die Pakete „aes-decode-runner-pro“, „postcss-minify-selector“ und „postcss-minify-selector-parser“. Die ersten beiden hängen von der legitimen Bibliothek „postcss-selector-parser“ ab, die auf mehr als 150 Millionen wöchentliche Downloads kommt. „postcss-minify-selector“ gibt sich als PostCSS-Minifier aus und bindet das ebenfalls bösartige „postcss-minify-selector-parser“ als Abhängigkeit ein.
Nach Installation oder Import führt ein obfuskierter JavaScript-Dropper das PowerShell-Skript „settings.ps1“ aus. Dieses lädt von der Domain „nvidiadriver[.]net“ ein ZIP-Archiv herunter, extrahiert es in das temporäre Verzeichnis und startet die Visual-Basic-Datei „update.vbs“. Das Archiv enthält eine Python-Laufzeitumgebung, den Loader „loader.py“ und mehrere mit Nuitka kompilierte Module. Der Trojaner erfasst Systeminformationen, erkennt virtuelle Umgebungen, lädt Dateien hoch und herunter und führt Shell-Befehle aus. Zusätzlich stiehlt er in Google Chrome gespeicherte Zugangsdaten und Informationen aus installierten Chrome-Erweiterungen. Für Persistenz legt er den Registry-Wert „csshost“ im Autostartbereich des angemeldeten Nutzers an.
Was jetzt zu tun ist:
- Pakete/Artefakte entfernen
- Passwörter und Secrets ändern
PRÄVENTION & DETEKTION
Mit modernen EDR-Lösungen behalten Sie die Aktivitäten auf all Ihren Endgeräten jederzeit im Blick. Verdächtige Vorgänge werden frühzeitig erkannt, lange bevor daraus ein ernsthaftes Sicherheitsrisiko entsteht. So gewinnen Sie wertvolle Zeit: Bedrohungen können gezielt untersucht, priorisiert und schnell behoben werden. Wir unterstützen Sie dabei, Ihr Unternehmen proaktiv vor Cyberangriffen zu schützen – effizient, transparent und genau auf Ihre Anforderungen abgestimmt.
Autor: Michael Niers
