Google-Entwickler: NPM-Malware könnte sich als Wurm verbreiten
Der vom Google-Entwickler Sam Saccone als "NPM Hydra Worm" beschriebene Angriff auf die Paketverwaltung(öffnet im neuen Fenster) für Node.js nutzt einige Schwäche im Design von NPM. Dadurch könnte sich ein schadhaftes Paket als Wurm in dem NPM-Archiv verbreiten. An wirksamen Gegenmaßnahmen arbeitet das Unternehmen NPM noch, bis diese umgesetzt sind, helfen nur Workarounds und manuelles Eingreifen.
Ein Wurm im Paket-Skript
Saccone kombiniert für seinen bereits Anfang Januar an NPM gemeldeten, theoretischen Angriff prinzipielle Arbeitsweisen der Paketverwaltung. So sind Pakete und ihre Abhängigkeiten nicht standardmäßig auf klar definierte Versionsnummern festgelegt, sondern akzeptieren auch größere Versionsbereiche, sofern dies nicht mit Shrinkwrap(öffnet im neuen Fenster) unterbunden wird.
Darüber hinaus bleiben Nutzer von NPM dauerhaft in dem Dienst angemeldet und müssen sich durch Eingabe eines Kommandos explizit abmelden. Gelingt es, ein schadhaftes Paket als Teil einer Update-Version zu verteilen, könnten sehr viele weitere Pakete dieses einspielen. Während einer Installation können die Pakete zudem eigene Skripte ausführen.
Ein solches Skript mit Schadcode könnte sich wiederum leicht weiterverteilen. Dazu reicht es aus, dass ein Paketbetreuer noch angemeldet ist und das Paket mit Schadcode als Abhängigkeit installiert. Die Malware könnte dann als Teil eines weiteren Pakets im NPM-Archiv publiziert werden, schließlich ist der Nutzer noch angemeldet. Da NPM ein zentrales Verzeichnis als Paketarchiv pflegt, ließe sich der Schadcode so sehr schnell verbreiten, vermutet Saccone.
NPM will Angriffsvektor schwächen
Als Gegenmaßnahme empfiehlt NPM(öffnet im neuen Fenster) hauptsächlich das Ausführen der Skripte entweder global oder auch nur zum Installationszeitpunkt abzuschalten. Außerdem erklärt NPM, dass es einen derartigen Wurm vermutlich durch eine wesentlich erhöhte Publikationshäufigkeit von Paketen entdecken könnte und dann eine weitere Verbreitung verhindern würde.
Das Unternehmen arbeite zurzeit daran, eine Zwei-Faktor-Authentifizierung für die Veröffentlichung von Paketen einzuführen. Die Schadsoftware könnte sich dann nicht mehr einfach selbst weiterverteilen. Letztlich könne NPM aber nicht sämtlichen Code scannen und hält es daher für möglich, dass in einer großangelegten Aktion Schadcode als Paket verteilt werden könnte. Der Dienst sei damit abhängig davon, dass die Community für sichere Pakete sorge.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.