Zugangsdaten in Gefahr: Wurm kapert NPM-Pakete mit Milliarden von Downloads
Das NPM-Ökosystem hat ein weiteres Mal mit einem extrem weitreichenden Supply-Chain-Angriff zu kämpfen, bei dem es die Angreifer auf Zugangsdaten abgesehen haben. Angefangen hat die jüngste Angriffswelle bei dem Paket keyv(öffnet im neuen Fenster), welches eine Key-Value-Storage-Bibliothek bereitstellt und zuletzt auf rund 150 Millionen Downloads pro Woche kam. Danach wurden aber noch mehr als 400 weitere, teils sehr populäre NPM-Pakete kompromittiert.
Wie Sicherheitsforscher von Aikido in einem Blogbeitrag(öffnet im neuen Fenster) schildern, begann die Angriffswelle am 4. August. Zu den kompromittierten NPM-Paketen zählen neben keyv unter anderem flat-cache(öffnet im neuen Fenster), cachable(öffnet im neuen Fenster), file-entry-cache(öffnet im neuen Fenster) und zahlreiche weitere Projekte, die jede Woche millionenfach heruntergeladen werden.
Eine laufend aktualisierte und durchsuchbare Liste aller betroffenen Pakete ist bei Socket zu finden(öffnet im neuen Fenster). Derzeit umfasst diese 447 NPM-Pakete sowie 2.241 einzelne Paketversionen. Zusammen sollen die betroffenen Pakete auf mehr als zwei Milliarden Downloads pro Monat kommen. Laut Sockets eigener Analyse(öffnet im neuen Fenster) schleusten die Angreifer dort jeweils ein Preinstall-Skript (setup.mjs) ein, das weiteren verschleierten Schadcode (Math_Symbol.js) nachlädt.
Wurm sammelt Zugangsdaten und mehr
Der Schadcode basiert den Angaben zufolge auf dem bekannten Shai-Hulud-Wurm und verhält sich ähnlich wie bei früheren Angriffswellen. Er ist darauf ausgelegt, Anmeldeinformationen und andere vertrauliche Daten aus CI/CD-Pipelines und von Entwicklersystemen abzugreifen. Dazu zählen unter anderem private Schlüssel, Tokens und Konfigurationsdaten für Cloud- und Onlinedienste (etwa AWS, GCP, Azure und Github) und andere Tools (wie Kubernetes und SSH) sowie Keepass-Datenbanken.
Die erbeuteten Daten werden unmittelbar ausgenutzt, um weitere NPM-Pakete zu kompromittieren. Entwickler sollten daher dringend prüfen, ob sie eines oder mehrere der betroffenen Pakete im Einsatz haben. Ist dies der Fall, so sollten beteiligte Systeme als kompromittiert betrachtet und darüber zugängliche Anmeldeinformationen zügig rotiert werden.
Für die Cyberabwehr und möglicherweise erforderliche Aufräumarbeiten nützliche Kompromittierungsindikatoren sowie weitere Empfehlungen zur Absicherung betroffener Systeme sind neben den bereits genannten Meldungen von Socket(öffnet im neuen Fenster) und Aikido(öffnet im neuen Fenster) auch in Berichten der Sicherheitsforscher von Wiz(öffnet im neuen Fenster), OX Security(öffnet im neuen Fenster), Stepsecurity(öffnet im neuen Fenster) und Safedep(öffnet im neuen Fenster) zu finden.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.