BEDROHUNG
Angreifer haben die CI/CD-Pipeline des AsyncAPI-Projekts kompromittiert und darüber manipulierte npm-Pakete veröffentlicht, die einen Remote-Access-Trojaner (RAT) mit Infostealer-Funktionalität verbreiten. Die betroffenen Pakete erreichen zusammen über 2,25 Millionen wöchentliche Downloads.
Laut Step Security nutzten die Angreifer eine Platzhalter-Git-Identität, um manipulierte Commits in einen Release-Branch einzuschleusen. Da die Veröffentlichung über die regulären Release-Workflows des Projekts erfolgte, erschienen die Pakete als vertrauenswürdig signiert.
Beim Import der kompromittierten Pakete löste ein Downloader nach, der über ein Peer-to-Peer-Content-Delivery-Netzwerk weitere Komponenten nachlud – darunter ein Skript mit Konfigurationsdetails, wie Socket erläutert. Bei der eigentlichen Malware handelt es sich um einen Infostealer, der über HTTP, Nostr-Relays und Ethereum-Smart-Contracts mit dem C2-Server kommuniziert. Zu den entwendeten Daten zählen Anmelde- und Authentifizierungsdaten, Tokens sowie Browserinformationen. Eine Backdoor stellt zusätzlich Persistenz sicher. Wiz und BleepingComputer bestätigten die Kampagne.
Die betroffenen Paketversionen wurden bereits von npm entfernt.
Was jetzt zu tun ist:
- Betroffene Versionen umgehend löschen und auf bereinigte Fassungen aktualisieren.
- Caches und Lockfiles bereinigen, um sicherzustellen, dass keine kompromittierten Abhängigkeiten verbleiben.
- Sämtliche Secrets rotieren
PRÄVENTION & DETEKTION
Mit einer leistungsfähigen EDR-Lösung erkennen Sie Angriffe frühzeitig, stoppen gezielt die Ausbreitung und verhindern effektiv den Datenabfluss. Gleichzeitig können betroffene Systeme sofort isoliert werden, sodass Schäden minimiert und Ihre Geschäftskontinuität gesichert bleibt.
Autor: Michael Niers
