Nachdem der Quellcode des Computervirus „Shai-Hulud“ kürzlich frei im Internet veröffentlicht wurde, sind innerhalb weniger Tage erste gefährliche Kopien auf der Entwickler-Plattform npm aufgetaucht. Die sind vielleicht nicht besser gemacht, aber die Menge an Schadsoftware multipliziert sich.
Der Vorfall zeigt deutlich, wie leicht es Hacker bei sogenannten Supply-Chain-Angriffen mittlerweile haben: Sie müssen Schadsoftware nicht mehr selbst entwickeln, sondern können den Code einfach kopieren und unter ähnlich klingenden Namen hochladen, die auf gängige Tippfehler von Entwicklern spekulieren. So die Experten von Mondoo.
Auch dreiste Kopien sind gefährlich
Das unangenehmste Detail ist technischer, nicht strategischer Natur. Die Überschrift, die als „chalk-tempalte“ (eine Art Tippfehler des beliebten „chalk-template“-Pakets) veröffentlicht wurde, ist eine nahezu exakte Kopie des geleakten Shai-Hulud-Quellcodes. Der Angreifer ersetzte ihn durch seinen eigenen C2-Endpunkt und seinen eigenen Signaturschlüssel, verzichtete auf Verschleierung und veröffentlichte ihn. Und es funktionierte.
Das ist der Punkt, mit dem sich Entwickler und Sicherheitsteams auseinandersetzen müssen. Die heutigen Verteidigungsmechanismen setzen nicht voraus, dass der Angreifer clever vorgeht. Er muss lediglich anwesend sein. Der Paketmanager führt ein Vorinstallationsskript aus, unabhängig davon, wer es geschrieben hat oder warum. Der CI-Runner installiert alles, worauf die Sperrdatei verweist. Der Entwicklerarbeitsplatz gibt seine Zugangsdaten sofort preis, sobald das Skript danach fragt. An diesem Verhalten hat sich zwischen der ersten Shai-Hulud-Attacke im November und den aktuellen nichts geändert.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenDie wichtigsten Fakten im Überblick
- Konkrete Fälschungen: Ein Einzeltäter lud gleich vier bösartige Pakete hoch – darunter drei Tippfehler-Versionen der beliebten Software „Axios“ und eine Shai-Hulud-Kopie mit eigener Command-and-Control-Infrastruktur.
- Gefahr durch DDoS-Botnetze: Einmal versehentlich heruntergeladen, integrieren die Pakete infizierte Systeme vollautomatisch in ein DDoS-Netzwerk oder stehlen Passwörter.
- Geringe Zahlen, hohes Tempo: Die wöchentlichen Downloads liegen aktuell bei rund 2.600 – was für npm-Pakete tatsächlich wenig ist. Dennoch warnt Mondoo vor der rasanten Geschwindigkeit dieses neuen Wettrüstens.
- Klassische Sicherheit versagt: Da für die Fälschungen völlig neue Konten genutzt werden, greifen gängige Schutzmaßnahmen der Plattformen ins Leere. Das blinde Vertrauen in externe Software-Bausteine wird zum akuten Risiko.
Über Mondoo
Die Mondoo GmbH mit Sitz in Berlin ist das deutsche Unternehmen für Actionable Exposure Management. Mondoo verfolgt die Vision, die Cybersicherheit grundlegend zu transformieren und eine digitale Welt zu schaffen, in der Sicherheitsprobleme dauerhaft im Kern behoben werden.
Passende Artikel zum Thema