Die Node.js-Oekosysteme npm und GitHub geraten erneut in den Fokus von Cyberkriminellen. Sicherheitsforscher von ReversingLabs, JFrog, Jamf und Panther haben eine neue Welle von Supply-Chain-Angriffen dokumentiert, bei denen boesartige npm-Pakete und manipulierte GitHub-Repositories gezielt auf Entwickler, Krypto-Wallets und Unternehmenszugriffe abzielen. Die aktuelle Aktivitaet wird unter dem Namen theGhost gefuehrt und steht in engem Zusammenhang mit der bekannten Kampagne GhostClaw.
theGhost: Boesartige npm-Pakete als Tarnung fuer Passwortdiebstahl und Remote-Zugriff
Laut ReversingLabs wurden mehrere infizierte Node.js-Bibliotheken im offiziellen npm-Registry unter dem Benutzerkonto „mikilanjillo“ veroeffentlicht. Die Pakete geben sich als nuetzliche Tools zur Optimierung oder Integration aus, sind jedoch in erster Linie darauf ausgelegt, sudo-Passwoerter abzugreifen und unbemerkt Schadsoftware nachzuladen.
Der Installationsablauf ist so gestaltet, dass er einer regulaeren npm-Installation moeglichst aehnelt. Die Skripte:
- zeigen gefälschte npm-Installationslogs an, um die Nachladung scheinbarer Abhaengigkeiten zu simulieren,
- bauen zufaellige Wartezeiten ein, um einen normalen Installationsprozess vorzutäuschen,
- melden anschliessend einen angeblichen Schreibfehler im Verzeichnis
/usr/local/lib/node_modulesund fordern den Nutzer auf, sein sudo-/Administrator-Passwort einzugeben.
Mit dem erlangten Passwort installiert das Paket im Hintergrund einen Downloader, der ueber einen Telegram-Kanal die Konfiguration und den Speicherort der finalen Malware bezieht. Das Endstadium ist ein Remote-Access-Trojaner (RAT), der in der Lage ist, Systeminformationen und Dateien zu sammeln, Krypto-Wallets und Browserdaten zu stehlen und weitere Kommandos von einem Command-and-Control-Server (C2) entgegenzunehmen.
GhostClaw: Missbrauch von GitHub, KI-Workflows und Installationsskripten
Die von ReversingLabs beobachteten Indikatoren ueberschneiden sich mit der groesseren Kampagne GhostClaw, die von JFrog und Jamf Threat Labs analysiert wurde. In diesem Cluster setzen Angreifer GitHub-Repositories und KI-unterstuetzte Entwicklungs-Workflows ein, um Schadcode – insbesondere auf macOS – in Entwicklerumgebungen zu schleusen.
Die Repositories sind professionell aufbereitet und tarnen sich als Trading-Bots, SDKs oder Entwickler-Utilities. Sie sammeln teilweise ueber lange Zeit Dutzende bis Hunderte von GitHub-Sternen, indem zunaechst harmloser oder sogar funktionierender Code bereitgestellt wird. Erst in einem spaeteren Schritt werden schadhaft modifizierte Komponenten in die Installationskette eingefuegt.
Eine Schluesselrolle spielt dabei die Dokumentation: In README-Dateien – und in KI-Kontexten in SKILL.md – werden Entwickler dazu aufgefordert, einen Shell-Skript-Befehl auszufuehren, um angeblich zusaetzliche Funktionen oder Konfigurationen zu installieren. Dieses Skript startet eine mehrstufige Infektionskette, die mit der Installation eines Credential-Stealers endet.
Auffaellig ist die Umgebungsvariable GHOST_PASSWORD_ONLY: Steht sie auf 0, erhaelt der Nutzer einen vollstaendigen Installationsassistenten mit Fortschrittsanzeige. Bei 1 laeuft der Vorgang nahezu unsichtbar im Hintergrund und konzentriert sich vor allem auf das Sammeln von Passwoertern und geheimen Daten.
Telegram, Credential-Stealer und BSC-Smart-Contracts als Ertragsmodell
Die Cloud-Sicherheitsfirma Panther hebt insbesondere das npm-Paket react-state-optimizer hervor, das ebenfalls vom Konto „mikilanjillo“ veroeffentlicht wurde. Es enthaelt ein CLI-Tool, das als Setup-Assistent auftritt und Entwickler dazu bringt, ihren sudo-Passwort-Dialog fuer vermeintliche Systemoptimierungen zu bestaetigen.
Im Anschluss leitet ein umfangreicher Credential-Stealer sensible Daten weiter, darunter:
- Browser-Credentials und Cookies,
- Kryptowaehrungs-Wallets und Seed-Phrasen,
- SSH-Schluessel und Konfigurationen von Cloud-Providern,
- Tokens von DevOps- und Entwickler-Tools.
Die initialen npm-Pakete beziehen ihre Konfiguration ueber Telegram-Kanaele oder ueber Teletype.in-Seiten, die als Blockchain-Dokumentation getarnt sind. Gestohlene Daten werden an verbundene Telegram-Bots uebermittelt. Zusaetzlich setzen die Angreifer Partner-Redirects ein, deren Parameter in einem Smart Contract auf der Binance Smart Chain (BSC) hinterlegt sind. Dadurch koennen Monetarisierungspartner und Ziel-URLs flexibel angepasst werden, ohne den Malware-Code selbst aktualisieren zu muessen.
Risiken fuer Organisationen: Supply-Chain-Angriffe auf die Entwicklungsumgebung
Die Kampagnen theGhost und GhostClaw verdeutlichen, dass Entwicklungswerkzeuge zu einem bevorzugten Angriffsziel geworden sind. npm, GitHub und KI-Coding-Assistenten ermoeglichen es Angreifern, Schadcode tief in die Software-Lieferkette (Software Supply Chain) einzuschleusen – oft, bevor klassische Endpoint-Schutzmassnahmen greifen.
Besonders gefaehrdet sind Teams, in denen:
- Entwickler routinemaessig
npm installmit sudo-Rechten oder globaler Installation ausfuehren, - Pakete hauptsaechlich nach Sternen, Downloads und Trendfaktoren ausgewaehlt werden,
- keine konsequente Integritaetspruefung und Laufzeitueberwachung von Abhaengigkeiten erfolgt.
Empfohlene Schutzmassnahmen fuer npm-, Node.js- und GitHub-Workflows
Technische Kontrollen und Best Practices
Um das Risiko durch boesartige npm-Pakete und manipulierte Repositories zu senken, sollten Organisationen folgende Massnahmen etablieren:
- Vermeidung von sudo bei npm: Globale oder privilegierte Installationen nur, wenn unbedingt erforderlich – und niemals fuer unbekannte Pakete.
- Vertrauenspruefung von Paketen: Autor, Historie, Release-Frequenz und verknuepfte Repositories ueberpruefen; bei neuen Konten und sprunghaften Versionsaenderungen besondere Vorsicht walten lassen.
- Analyse von Skripten:
postinstall-Skripte und Shell-Installer ausREADMEoderSKILL.mdvor der Ausfuehrung manuell einsehen. - Interne Registries und Spiegel: Nur vorgepruefte Abhaengigkeiten ueber private npm-Registries oder Artefakt-Repositories freigeben.
- Netzwerkueberwachung: Build- und CI/CD-Umgebungen auf ungewoehnliche Verbindungen zu Telegram, Pastebin, Teletype.in und aehnlichen Diensten monitoren.
Organisationale und prozessuale Massnahmen
Neben technischen Kontrollen sind Schulung und Governance entscheidend:
- Security-Awareness fuer Entwickler: Typische Muster von Supply-Chain-Angriffen, wie gefälschte Installer oder Passwortabfragen, regelmaessig trainieren.
- Policies fuer Abhaengigkeiten: Klare Richtlinien, wann neue Pakete eingefuehrt werden duerfen und wann ein Security-Review erforderlich ist.
- Regelmaessige Audits: Automatisierte Scans und manuelle Stichproben von Abhaengigkeiten, insbesondere bei populären oder sicherheitskritischen Projekten.
Die aktuellen Kampagnen zeigen: Angriffe auf Entwickler und ihre Werkzeuge sind kein Randphaenomen mehr, sondern entwickeln sich zu einem dauerhaften Trend. Je frueher Organisationen ihre Abhaengigkeiten, Installationsskripte und Berechtigungsmodelle kritisch hinterfragen, desto geringer ist die Chance, dass sich Malware unbemerkt in die eigene Software-Lieferkette einschleicht. Es lohnt sich, jeden neuen npm-Baustein und jedes Shell-Skript so misstrauisch zu pruefen wie eine unerwartete E-Mail – und Passwoerter nur dort einzugeben, wo der Vertrauenskontext zweifelsfrei geklaert ist.
