• IT-Karriere:
  • Services:

Google-Entwickler: NPM-Malware könnte sich als Wurm verbreiten

Wegen einiger Design-Prinzipien der Node-Paktverwaltung NPM könne sich ein schadhaftes Modul wie ein Wurm im gesamten System verbreiten, warnt ein Google-Entwickler. Gegen die Sicherheitslücke hilft vorerst nur Handarbeit.

Artikel veröffentlicht am ,
NPM ist anfälig für einen Wurm.
NPM ist anfälig für einen Wurm. (Bild: NPM)

Der vom Google-Entwickler Sam Saccone als "NPM Hydra Worm" beschriebene Angriff auf die Paketverwaltung für Node.js nutzt einige Schwäche im Design von NPM. Dadurch könnte sich ein schadhaftes Paket als Wurm in dem NPM-Archiv verbreiten. An wirksamen Gegenmaßnahmen arbeitet das Unternehmen NPM noch, bis diese umgesetzt sind, helfen nur Workarounds und manuelles Eingreifen.

Ein Wurm im Paket-Skript

Stellenmarkt
  1. über duerenhoff GmbH, Hamburg
  2. Information und Technik Nordrhein-Westfalen (IT.NRW), Düsseldorf

Saccone kombiniert für seinen bereits Anfang Januar an NPM gemeldeten, theoretischen Angriff prinzipielle Arbeitsweisen der Paketverwaltung. So sind Pakete und ihre Abhängigkeiten nicht standardmäßig auf klar definierte Versionsnummern festgelegt, sondern akzeptieren auch größere Versionsbereiche, sofern dies nicht mit Shrinkwrap unterbunden wird.

Darüber hinaus bleiben Nutzer von NPM dauerhaft in dem Dienst angemeldet und müssen sich durch Eingabe eines Kommandos explizit abmelden. Gelingt es, ein schadhaftes Paket als Teil einer Update-Version zu verteilen, könnten sehr viele weitere Pakete dieses einspielen. Während einer Installation können die Pakete zudem eigene Skripte ausführen.

Ein solches Skript mit Schadcode könnte sich wiederum leicht weiterverteilen. Dazu reicht es aus, dass ein Paketbetreuer noch angemeldet ist und das Paket mit Schadcode als Abhängigkeit installiert. Die Malware könnte dann als Teil eines weiteren Pakets im NPM-Archiv publiziert werden, schließlich ist der Nutzer noch angemeldet. Da NPM ein zentrales Verzeichnis als Paketarchiv pflegt, ließe sich der Schadcode so sehr schnell verbreiten, vermutet Saccone.

NPM will Angriffsvektor schwächen

Als Gegenmaßnahme empfiehlt NPM hauptsächlich das Ausführen der Skripte entweder global oder auch nur zum Installationszeitpunkt abzuschalten. Außerdem erklärt NPM, dass es einen derartigen Wurm vermutlich durch eine wesentlich erhöhte Publikationshäufigkeit von Paketen entdecken könnte und dann eine weitere Verbreitung verhindern würde.

Das Unternehmen arbeite zurzeit daran, eine Zwei-Faktor-Authentifizierung für die Veröffentlichung von Paketen einzuführen. Die Schadsoftware könnte sich dann nicht mehr einfach selbst weiterverteilen. Letztlich könne NPM aber nicht sämtlichen Code scannen und hält es daher für möglich, dass in einer großangelegten Aktion Schadcode als Paket verteilt werden könnte. Der Dienst sei damit abhängig davon, dass die Community für sichere Pakete sorge.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Asus VivoBook 14 S413IA-EB166T 14 Zoll Ryzen 5 8GB 512GB SSD für 730,13€, Asus VivoBook...
  2. (u. a. Anno History Collection für 26,29€, Monster Hunter World - Iceborne (Master Edition) für...
  3. (aktuell u. a. Rage 2 für 11€, The Elder Scrolls V: Skyrim Special Edition für 11,99€, Urban...
  4. (u. a. be quiet! PURE BASE 600 Tower-Gehäuse für 61,90€, Chieftec CF-3012-RGB 3er-RGB Lüfter...

teleborian 31. Mär 2016

Lässt sich das auf Distributionen und Ihre Paketdienste wie apt übertragen? oder was ist...

teleborian 31. Mär 2016

Wenn die so reden klingt das nach einem nicht behebbaren Designproblem. NPM müsste...

videospieler 30. Mär 2016

Ah, ok. Danke :)


Folgen Sie uns
       


The Last of Us 2 - Fazit

Überleben in der Postapokalypse: Im Actionspiel The Last of Us 2 erkunden wir mit der jungen Frau Ellie unter anderem die Stadt Seattle - und sinnen auf Rache für einen Mord.

The Last of Us 2 - Fazit Video aufrufen
Ryzen 7 Mobile 4700U im Test: Der bessere Ultrabook-i7
Ryzen 7 Mobile 4700U im Test
Der bessere Ultrabook-i7

Wir testen AMDs Ryzen-Renoir mit 10 bis 35 Watt sowie mit DDR4-3200 und LPDDR4X-4266. Die Benchmark-Resultate sind beeindruckend.
Ein Test von Marc Sauter

  1. Ryzen 4000G (Renoir) AMD bringt achtkernige Desktop-APUs mit Grafikeinheit
  2. AMD Ryzen Threadripper Pro unterstützen 2 TByte RAM
  3. Ryzen 3000XT im Test Schneller dank Xtra Transistoren

Sysadmin Day 2020: Du kannst doch Computer ...
Sysadmin Day 2020
Du kannst doch Computer ...

Das mit den Computern könne er vergessen, sagte ihm das Arbeitsamt nach dem Schulabschluss. Am Ende wurde Michael Fischer aber doch noch Sysadmin, zur allerbesten Sysadmin-Zeit.
Ein Porträt von Boris Mayer


    Campus Networks: Wenn das 5G-Netz nicht jeden reinlässt
    Campus Networks
    Wenn das 5G-Netz nicht jeden reinlässt

    Über private 4G- und 5G-Netze gibt es meist nur Buzzwords. Wir wollten von einer Telekom-Expertin wissen, was die Campusnetze wirklich können und was noch nicht.
    Von Achim Sawall

    1. Funkstrahlung Bürgermeister in Oberbayern greifen 5G der Telekom an
    2. IRT Öffentlich-rechtlicher Rundfunk schließt Forschungszentrum
    3. Deutsche Telekom 5G im UMTS-Spektrum für die Hälfte der Bevölkerung

      •  /