Forscher von OX Security haben vier boesartige npm-Pakete entdeckt, die von demselben Benutzer veröffentlicht wurden, aber grundlegend unterschiedliche schädliche Nutzlasten enthalten – von einem Klon des Wurms Shai-Hulud über ein in Go geschriebenes DDoS-Botnet bis hin zu klassischen Infostealern. Insgesamt wurden die Pakete mehr als 3 000 Mal heruntergeladen. Entwicklern, die npm nutzen, wird empfohlen, ihre Abhaengigkeiten umgehend auf das Vorhandensein der genannten Bibliotheken zu ueberpruefen, diese bei Fund zu entfernen und eine Rotation aller Geheimnisse durchzufuehren, die kompromittiert worden sein koennten.

Boesartige Pakete und ihre Funktionalitaet

Alle vier Pakete wurden im Namen des npm-Benutzers deadcode09284814 veroefentlicht. Bemerkenswert ist, dass trotz des gemeinsamen Autors jedes Paket eine eigene, einzigartige schaedliche Nutzlast traegt:

• chalk-tempalte (825 Downloads) – enthaelt einen nahezu unveraenderten Klon des Wurms Shai-Hulud, dessen Quellcode von der Gruppe TeamPCP veroefentlicht wurde. Nach Angaben der Forscher hat der Angreifer lediglich seinen eigenen C2-Server und Schluessel eingetragen.
• axois-utils (963 Downloads) – installiert das DDoS-Botnet Phantom Bot, geschrieben in Go, mit der Faehigkeit zu Flood-Angriffen ueber die Protokolle HTTP, TCP und UDP. Das Botnet verankert sich im System ueber den Autostart-Ordner von Windows und den Aufgabenplaner.
• @deadcode09284814/axios-util (284 Downloads) – ein Infostealer, der SSH-Schluessel, Umgebungsvariablen, Cloud-Zugangsdaten, Systeminformationen, die IP-Adresse und Daten von Kryptowaehrungs-Wallets stiehlt.
• color-style-utils (934 Downloads) – ein aehnlicher Infostealer mit demselben Satz an Zielinformationen, jedoch mit Versand an einen anderen C2-Server.

Die Paketnamen nutzen die Technik des Typo-Squattings: chalk-tempalte imitiert das beliebte chalk-template, und axois-utils die Bibliothek axios. Dies ist ein klassisches Vorgehen bei Supply-Chain-Angriffen, das auf Tippfehler von Entwicklern bei der Installation von Abhaengigkeiten setzt.

Mechanismus der Datenexfiltration

Das Paket chalk-tempalte mit dem Shai-Hulud-Klon sendet gestohlene Zugangsdaten an einen C2-Server und nutzt zudem ein entwendetes GitHub-Token, um ueber die GitHub-API ein oeffentliches Repository zu erstellen. Das erstellte Repository erhaelt die Beschreibung «A Mini Sha1-Hulud has Appeared» – dieser String kann bei der Suche nach Lecks als Indikator fuer eine Kompromittierung dienen.

Nach Angaben von OX Security hat der Angreifer den offenen Quellcode von Shai-Hulud verwendet und „fast ohne jegliche Aenderungen eine lauffaehige Version mit seinem eigenen C2-Server hochgeladen“. Dies verdeutlicht, wie niedrig die Einstiegshuerde fuer die Durchfuehrung von Supply-Chain-Angriffen ist, wenn fertige Werkzeuge zur Verfuegung stehen.

Indikatoren einer Kompromittierung

• C2-Domains: 87e0bbc636999b.lhr[.]life, edcf8b03c84634.lhr[.]life
• C2 IP-Adresse: 80.200.28[.]28:2222
• Marker auf GitHub: Repository-Beschreibung „A Mini Sha1-Hulud has Appeared“

Kontext der Bedrohung

Das Auftreten dieser Pakete steht im Zusammenhang mit der Veroeffentlichung des Quellcodes des Wurms Shai-Hulud durch die Gruppe TeamPCP. Nach Einschaetzung der Forscher koennte der Klon im Paket chalk-tempalte von einem Wettbewerb zu Supply-Chain-Angriffen inspiriert worden sein, der kurz nach dem Leak des Codes auf dem Forum BreachForums angekuendigt wurde. Diese Verbindung beruht jedoch auf der Annahme einer einzelnen Quelle und ist nicht unabhaengig bestaetigt.

Das Schluesselmerkmal dieses Vorfalls ist seine Multivektoralitaet. Ein einziger Angreifer hat gleichzeitig vier Pakete mit unterschiedlichen Arten von Malware bereitgestellt: einen sich replizierenden Wurm, ein DDoS-Botnet und zwei Varianten von Infostealern. Dies kann sowohl auf das Testen verschiedener Vorgehensweisen als auch auf den Versuch hinweisen, mit minimalem Aufwand eine moeglichst grosse Verbreitung zu erzielen.

Bewertung der Auswirkungen

Die Haupt-Risikogruppe sind Entwickler und DevOps-Ingenieure, die mit dem npm-Oekosystem arbeiten, insbesondere solche, die Abhaengigkeiten installieren, ohne Paketnamen strikt zu ueberpruefen. Angesichts der Tatsache, dass die Infostealer auf SSH-Schluessel, Cloud-Zugangsdaten und Umgebungsvariablen abzielen, kann die Kompromittierung einer einzigen Entwickler-Workstation zu einem Kaskadenzugriff auf die Cloud-Infrastruktur, CI/CD-Pipelines und privaten Repositories einer Organisation fuehren.

Eine zusaetzliche Gefahr stellt die Nutzung gestohlener GitHub-Tokens zur Erstellung oeffentlicher Repositories dar – dies ist ein potenzieller Kanal fuer den Abfluss proprietaeren Codes und von Geheimnissen.

Empfehlungen zur Reaktion

1. Abhaengigkeiten ueberpruefen aller Projekte auf die Pakete chalk-tempalte, axois-utils, @deadcode09284814/axios-util, color-style-utils und diese bei Fund umgehend entfernen.
2. Rotation der Geheimnisse durchfuehren: SSH-Schluessel, GitHub-Tokens, Cloud-Zugangsdaten (AWS, GCP, Azure), API-Schluessel, Umgebungsvariablen – alles, was auf der kompromittierten Maschine zugaenglich gewesen sein koennte.
3. GitHub-Konten ueberpruefen auf unbekannte Repositories, insbesondere mit der Beschreibung „A Mini Sha1-Hulud has Appeared“.
4. Schaedliche Konfigurationen entfernen aus IDEs und Tools wie Claude Code, die durch den boesartigen Code modifiziert worden sein koennten.
5. Auf Netzwerkebene blockieren von Verbindungen zu den Domains 87e0bbc636999b.lhr.life, edcf8b03c84634.lhr.life und der IP-Adresse 80.200.28.28.
6. Aufgabenplaner pruefen (Windows) und den Autostart-Ordner auf verdächtige Eintraege, die mit Phantom Bot in Zusammenhang stehen koennten.

Dieser Vorfall zeigt anschaulich, wie die Veroeffentlichung von Malware-Quellcode die Huerde fuer die Durchfuehrung von Supply-Chain-Angriffen senkt. Entwickler sollten eine automatische Pruefung von Abhaengigkeiten mit Tools wie npm audit einführen, lockfiles zur Fixierung von Versionen verwenden und den Einsatz von Richtlinien in Betracht ziehen, die die Installation von Paketen unbekannter Autoren einschraenken. Organisationen, die eines der genannten Pakete in ihrer Infrastruktur entdecken, muessen den Vorfall als vollstaendige Kompromittierung der betroffenen Workstation betrachten und entsprechend handeln.