Großangelegte Malware-Attacke trifft Hunderte JavaScript-Pakete – auch bekannte Kryptoprojekte betroffen

Ein neuer Angriff auf die JavaScript-Plattform NPM hat Hunderte Softwarepakete mit einem sich selbst replizierenden Malware-Wurm infiziert. Aus Untersuchungen des Cybersecurity-Unternehmens Aikido Security geht hervor, dass sowohl allgemeine Softwareprojekte als auch Pakete aus der Kryptowelt betroffen sind.

Mehr als 400 infizierte Pakete entdeckt

Cyberforscher Charlie Eriksen hat mehr als 400 Pakete identifiziert, die mit dem sogenannten Shai-Hulud-Wurm infiziert sind. Dieser Wurm verbreitet sich automatisch, sobald ein verseuchtes Paket installiert wird, und kann sensible Daten wie Zugangscodes und Anmeldedaten abgreifen. Viele der betroffenen Pakete werden wöchentlich zehntausendfach heruntergeladen, was die Tragweite des Angriffs erheblich macht.

Krypto-Projekt Ethereum Name Service schwer getroffen

Ein großer Teil der Infektionen betrifft Pakete, die von Krypto-Projekten genutzt werden, darunter der Ethereum Name Service (ENS). Dieses Projekt fungiert als eine Art Adressbuch für Krypto-Wallets und stützt sich auf weit verbreitete Pakete wie content-hash, ensjs und address-encoder. Zusammen kommen diese auf mehr als 100.000 Downloads pro Woche. Auch das kryptobezogene Paket crypto-addr-codec, das unabhängig von ENS ist, wurde kompromittiert.

Was die Malware anrichtet

Frühere Angriffe zielten meist direkt auf den Diebstahl von Krypto-Geldern ab, doch der Shai-Hulud-Wurm funktioniert anders. Die Malware kann:

• Anmeldedaten und andere sensible Informationen sammeln
• sich auf weitere Systeme ausbreiten
• private Dateien und Einstellungen offenlegen

Laut Slava Demchuk, CEO des kryptoforensischen Unternehmens AMLBot, sammelt der Wurm alles ein, was in einer Entwicklungsumgebung als geheim gespeichert wird. Zwar liegen bislang keine Berichte über gestohlene Wallet-Schlüssel vor, doch Systeme, auf denen ein infiziertes Paket eingesetzt wurde, gelten als risikobehaftet.

Nicht nur Krypto: Auch große Unternehmen betroffen

Neben Krypto-Projekten wurden auch zahlreiche nicht-kryptobezogene Pakete infiziert. Unter den betroffenen Libraries befinden sich Module der Automatisierungsplattform Zapier, von denen einige mehr als 40.000 Downloads pro Woche verzeichnen. Es wurde sogar mindestens ein verseuchtes Paket mit über 1,5 Millionen wöchentlichen Downloads entdeckt.

Zahl infizierter Repositories steigt rasant

Das Cybersecurity-Unternehmen Wiz meldet, bereits mehr als 25.000 infizierte Repositories entdeckt zu haben. Die Welle der Infektionen wächst rasant: Alle 30 Minuten kommen rund 1.000 neue kompromittierte Repositories hinzu. Das Unternehmen rät Entwicklern und Organisationen, ihre Systeme umgehend zu überprüfen und infizierte Pakete so schnell wie möglich zu entfernen oder zu ersetzen.