BEDROHUNG
Forscher von JFrog Security identifizierten zwei kompromittierte npm-Pakete sowie 16 Go-Pakete, die versteckte VS-Code-Tasks nutzen, um beim Öffnen eines Projektordners automatisch Malware zu starten.
Betroffen sind die am 25. Mai veröffentlichten und mittlerweile aus der npm-Registry entfernten Pakete „html-to-gutenberg" (Version 4.2.11) und „fetch-page-assets" (Version 1.2.9). Eine als Font-Datei getarnte JavaScript-Datei enthält einen versteckten Task mit dem Namen „eslint-check". Dieser ist mit runOn: "folderOpen" konfiguriert und wird beim Öffnen des betroffenen Ordners als Workspace in VS Code oder Cursor ausgeführt, sofern automatische Tasks erlaubt bzw. der Workspace als vertrauenswürdig eingestuft ist.
Zunächst wird eine öffentliche Blockchain-Infrastruktur als Dead-Drop-Mechanismus verwendet, um verschlüsselte JavaScript-Payloads abzurufen. Anschließend wird ein Command-and-Control-Server (C2) konfiguriert, über den Datei-Uploads und Downloads weiterer Malware möglich sind. Der nachgeladene Infostealer zielt unter anderem auf Chromium- und Firefox-basierte Browser, Passwortmanager, Kryptowährungs-Wallets und Git-Zugangsdaten. Die gesammelten Daten werden in ZIP-Archive komprimiert, an den C2-Server übertragen und optional zusätzlich über einen Telegram-Bot versendet.
Die Kampagne richtet sich gegen Windows-, Linux- und macOS-Systeme.
Was jetzt zu tun ist:
- betroffene Pakete und Artefakte umgehend aus allen Projekten und Build-Pipelines entfernen
- Geräte auf versteckte VS-Code-Tasks prüfen
- Passwörter und Secrets ändern
PRÄVENTION & DETEKTION
EDR-Lösungen (Endpoint Detection and Response), wie Sentinel One oder Mircrosoft Defender, ermöglichen eine kontinuierliche Überwachung von Endgeräten, um Bedrohungen frühzeitig zu erkennen und gezielt darauf zu reagieren. Sie sind ein wichtiger Bestandteil moderner IT-Sicherheitsstrategien, besonders gegen komplexe und gezielte Angriffe.
Autor: Michael Niers
