BEDROHUNG
Der Wurm „ChainDrop“ kompromittierte in einer groß angelegten Supply-Chain-Kampagne mindestens 868 npm-Pakete in mehr als 1.300 Versionen. Zusammen kommen diese Pakete auf über zwei Milliarden monatliche Downloads; die veröffentlichten Zahlen schwanken, weil sich die Lage laufend ändert.
Die Angreifer übernahmen laut den beteiligten Security-Unternehmen zunächst das GitHub-Konto eines Maintainers des weit verbreiteten Pakets Keyv. Sie schleusten schädliche Dateien direkt in die Main-Branch ein und ließen neue Paketversionen über die regulären GitHub-Actions-Workflows veröffentlichen. Die manipulierten Releases trugen dadurch gültige Provenance-Informationen, obwohl ihr Quellcode bereits kompromittiert war. Über gestohlene Maintainer-Zugänge und Tokens breitete sich der Wurm anschließend auf weitere Pakete aus.
Die schädlichen Versionen enthalten unter anderem den Dropper setup.mjs und die Payload Math_Symbol.js. Ein Preinstall-Skript startet den Dropper bereits während der Installation, dieser lädt die Bun-JavaScript-Runtime nach und führt damit den eigentlichen Infostealer aus. Die Malware sucht nach lokalen Konfigurationsdateien, GitHub- und npm-Tokens, Cloud-Zugangsdaten, GitHub-Actions-Secrets sowie erreichbaren Kubernetes- und AWS-Zugangsdaten. Gefundene Tokens prüft sie teilweise auf Gültigkeit und exfiltriert sie verschlüsselt.
Wer eine kompromittierte Paketversion installiert und den Preinstall-Code ausgeführt hat, sollte die betroffene Workstation als kompromittiert behandeln und neu aufsetzen: Angreifer könnten bereits Zugangsdaten entwendet, Persistenz eingerichtet oder weitere Repositories und Pakete manipuliert haben.
Was jetzt zu tun ist:
- Betroffenheit anhand der Paketlisten prüfen und betroffene Systeme neu aufsetzen
- sämtliche npm-, GitHub-, Cloud- und CI-Tokens rotieren
- Logs auf unbefugte Zugriffe und Repositories auf unerwartete Commits prüfen
PRÄVENTION & DETEKTION
Eine leistungsfähige EDR-Lösung, wie Sentinel One oder Microsoft Defender, kann ChainDrop anhand typischer Verhaltensmuster erkennen, blockieren und die Ausbreitung stoppen.
EDR schützt bei ChainDrop nicht primär vor dem manipulierten Paket selbst, sondern vor dessen Ausführung, Credential-Diebstahl, Datenexfiltration und lateraler Ausbreitung.
Autor: Michael Niers
