BEDROHUNG
Eine Malware-Kampagne versteckt ihren Schadcode im Laufzeitverhalten einer Bibliothek und umgeht damit die Schutzmechanismen von npm gegen bösartige Installationsskripte. Das Paket „indexed-btree“ ahmt die legitime Bibliothek „sorted-btree“ nach und kam zuletzt auf knapp zwei Millionen wöchentliche Downloads.
Nach einem signifikanten Anstieg von Supply-Chain-Angriffen verkündete GitHub mit npm v12 im Juni 2026 die Einführung verschiedener Sicherheitsmechanismen. Eine Maßnahme betrifft das automatische Blockieren von Lifecycle-Skripten wie „preinstall“, „install“ und „postinstall“, sofern diese nicht ausdrücklich genehmigt wurden. Die von Checkmarx beobachtete Kampagne umgeht diesen Schutz, indem der Loader des bösartigen „indexed-btree“-Pakets in der bibliothekeigenen Methode „BTree.prototype.set()“versteckt wird. Diese wird zur Laufzeit ausgeführt, wenn die Anwendung sie mit einem bestimmten Schlüsselwert aufruft, wodurch die Installation unbedenklich erscheint und keinen der Genehmigungsmechanismen von npm v12 auslöst. Die Methode startet das Skript „sharedLoad.min.js“, das die verschleierte erste Stufe der Malware enthält.
Diese sammelt anschließend Systemdaten wie Architektur, Hostname, CPU und Arbeitsspeicher, die über fest hinterlegte Slack- und Telegram-Kanäle exfiltriert werden. Zusätzlich fragt die Malware einen Ethereum-Smart-Contract im Sepolia-Testnetz ab, der als Verweis auf die Command-and-Control-Infrastruktur und zur Bereitstellung einer verschlüsselten zweiten Payload-Stufe dient. Über eine integrierte Bereinigungsfunktion können die Malware-Dateien sowie der Laufzeit-Trigger später entfernt werden.
Zusätzlich wurden neun weitere, bösartige und mittlerweile aus npm entfernte Pakete entdeckt, die Checkmarx derselben Kampagne zuordnet. Entwicklern die eines der betroffenen Pakete installiert oder verwendet haben, wird empfohlen, ihre Entwicklungsumgebung als potenziell kompromittiert zu betrachten, sämtliche Secrets zu rotieren und die Entwicklungsumgebung von einem sicheren Backup neu aufzusetzen.
Was jetzt zu tun ist:
- Secrets rotieren
System neu aufsetzen
PRÄVENTION & DETEKTION
Eine EDR-Lösung erkennt verdächtige Aktivitäten, wie das Senden präparierter Anfragen oder ungewöhnlicher Befehle an den GitLab-Server und unterstützt so die frühzeitige Erkennung von Angriffsversuchen.
Autor: Michael Niers
