NuGet-Supply-Chain-Angriff: Wie Sicoob.Sdk Bankzugänge kompromittiert

Im NuGet-Registry wurde ein bösartiges Paket entdeckt Sicoob.Sdk (Versionen 2.0.0–2.0.4), das sich als offizielles C#-SDK für die Integration mit Sicoob – einem der größten genossenschaftlichen Finanzsysteme Brasiliens – ausgibt. Das Paket stahl Kunden-IDs, Passwörter und PFX-Zertifikate, die zur Authentifizierung im Banking-API verwendet werden, und übermittelte sie an einen externen Server. Nach Angaben der Forschenden von Socket wurde das Paket etwa 500‑mal heruntergeladen. Organisationen, die dieses Paket installiert haben, müssen kompromittierte Zertifikate umgehend widerrufen und sämtliche zugehörigen Zugangsdaten rotieren.

Mechanismus des Datendiebstahls

Nach Angaben des Forschers Kirill Boychenko von Socket las das Paket beim Erzeugen einer Instanz der Klasse SicoobClient unter Angabe der Kunden-ID, des Pfads zur PFX-Datei und des Passworts die PFX-Datei vom Datenträger ein, kodierte deren Inhalt in Base64 und sendete die Kunden-ID, das Passwort und die kodierten Zertifikatsdaten an einen hart codierten externen Sentry-Endpunkt. PFX-Zertifikate dienen in diesem Kontext als zentrales Element der Authentifizierung von Geschäftssystemen im Bankennetz von Sicoob – sie ermöglichen die Automatisierung von Bankgeschäften, einschließlich der Verarbeitung von Sofortzahlungen und der Generierung dynamischer Pix-QR-Codes.

Neben Zertifikaten fing das Paket den Angaben zufolge Antworten des API-Systems Boleto – einer in Brasilien beliebten Zahlungsmethode – über einen separaten Sentry-Pfad ab. Dadurch konnten potenziell Transaktionsdetails offengelegt werden: Zahlungsstatus, Beträge, Fristen, Kennungen sowie Daten von Zahlern und Empfängern.

Taktiken zur Tarnung

Der Angriff nutzte mehrere Kniffe, um einen legitimen Eindruck zu erwecken. Das Herausgeberprofil auf NuGet war unter dem Namen „sicoob“ registriert und enthielt nach Angaben der Forschenden 11 weitere Pakete mit insgesamt rund 6 000 Downloads. Das Paket war mit einem GitHub-Repository verknüpft, das unauffällig wirkte und keinen schädlichen Code enthielt – die bösartige Funktionalität wurde ausschließlich in das Artefakt eingebracht, das in das NuGet-Registry hochgeladen wurde. Diese Diskrepanz zwischen Quellcode und verteilt em Paket ist ein typisches Merkmal eines gezielten Supply-Chain-Angriffs.

Nach verantwortungsvoller Offenlegung der Informationen wurde das Paket im NuGet-Registry blockiert.

Welle von Angriffen auf das npm-Ökosystem

Der Vorfall mit Sicoob.Sdk ist Teil einer groß angelegten Welle von Angriffen auf Softwarelieferketten. Parallel dazu wurden zahlreiche Kampagnen im npm-Ökosystem beobachtet:

• 14 bösartige npm-Pakete, die vom Microsoft Defender Security Research Team dokumentiert wurden, imitierten Bibliotheken für OpenSearch, ElasticSearch und DevOps-Tools. Die Pakete stahlen AWS-Zugangsdaten, HashiCorp-Vault-Token, npm-Token und Geheimnisse aus CI/CD-Pipelines über einen preinstall-Hook-Mechanismus. Alle Pakete wurden am 28. Mai 2026 vom Account „vpmdhaj“ ([email protected]) veröffentlicht.
• 164 bösartige npm-Pakete in fünf Namespaces, die Umgebungsvariablen der Opfer an die Domain oob.moika[.]tech/report sendeten.
• 176 bösartige npm-Pakete, die die Technik dependency confusion mit der Versionsnummer „99.99.99“ nutzten, um interne Abhängigkeiten von Organisationen zu ersetzen. Die Pakete führten Host-Reconnaissance durch, stahlen Entwicklerzugangsdaten und luden eine Binärdatei für eine zweite Stufe nach.
• Das Paket forge-jsxy mit Funktionen für Keylogging, Überwachung der Zwischenablage, Scannen von .env-Dateien, Exfiltration der Shell-Befehls-Historie, Remotezugriff auf das Dateisystem, Screenshot-Erfassung und Scannen von Kryptowährungs-Wallets.
• 141 bösartige npm-Pakete, die npm als kostenlosen Hosting-Dienst für einen werbefinanzierten Web-Proxy missbrauchten.

Evolution der Taktiken: von Tippfehlern zur „Produktion von Legitimität“

Nach Einschätzung von Sonatype haben Angreifer das klassische Typosquatting hinter sich gelassen. Der Begriff „Typosquatting“ ist mittlerweile zu eng, um die beobachteten Taktiken zu beschreiben. Moderne Methoden umfassen das Hinzufügen von Präfixen und Suffixen, den Ersatz von Abhängigkeiten (dependency confusion), Versions-Mimikry, die Verwendung zielgerichteter Begriffe in Paketnamen und das Ändern von Namespaces. Die übergeordnete Strategie besteht darin, Pakete zu schaffen, die glaubwürdig wirken und sich nahtlos in die Arbeitsabläufe von Entwicklern einfügen.

BlueVoyant bringt eine Reihe jüngster Vorfälle gesondert mit der Gruppierung TeamPCP (auch bekannt als Replicating Marauder / UNC6780) in Verbindung, die mutmaßlich populäre Entwicklerwerkzeuge in npm, PyPI, Docker Hub und Packagist vergiftet und dabei Automatisierung sowie geerbtes Vertrauen in CI/CD-Pipelines nutzt, um Kompromittierungen zwischen Organisationen zu propagieren. Diese Attribution basiert jedoch auf der Analyse eines einzelnen Anbieters und ist daher mit Vorsicht zu interpretieren.

Bewertung der Auswirkungen

Die Kompromittierung von Sicoob-PFX-Zertifikaten schafft für betroffene Organisationen ein kritisches Risiko. Ein Angreifer, der über ein gültiges Zertifikat und eine Kunden-ID verfügt, kann die API-Bankintegration des Opfers vollständig imitieren – Zahlungen initiieren, Zahlungs-QR-Codes generieren und Zugriff auf Finanzdaten erhalten. Indirekt sind auch Endnutzer betroffen: Das Abfließen von Authentifizierungsdaten kann zu unautorisierten Transaktionen mit ihren Mitteln führen.

Das Ausmaß der Bedrohung im npm-Ökosystem ist deutlich größer: Insgesamt wurden in den letzten Wochen über 600 bösartige Pakete entdeckt, die auf den Diebstahl von Cloud-Zugangsdaten, CI/CD-Geheimnissen und Entwicklerdaten abzielen.

Empfehlungen

Für Organisationen, die Sicoob.Sdk eingesetzt haben:

1. Das Paket umgehend aus allen Projekten und Build-Pipelines entfernen.
2. Alle PFX-Zertifikate, die mit diesem Paket verwendet wurden, als kompromittiert betrachten – sie widerrufen und neu ausstellen.
3. Passwörter der PFX-Dateien rotieren und betroffene Kunden-IDs ändern oder deaktivieren.
4. Authentifizierungs- und API-Logs von Sicoob auf Anzeichen ungewöhnlicher Aktivitäten prüfen.
5. Überprüfen, ob sich weitere Pakete des Profils „sicoob“ in den Projektabhängigkeiten befinden.

Für den Schutz vor Supply-Chain-Angriffen im Allgemeinen:

• Eine Verifizierung einführen, die Übereinstimmung zwischen Quellcode im Repository und dem verteilten Artefakt im Paket-Registry sicherstellt.
• Dependency-Scanning-Werkzeuge (SCA) einsetzen, die anomales Paketverhalten erkennen können – etwa Netzwerkaufrufe, Dateizugriffe oder den Zugriff auf Umgebungsvariablen.
• Die Nutzung von preinstall/postinstall-Hooks in npm-Projekten über den Parameter ignore-scripts einschränken.
• Projektabhängigkeiten auf Pakete aus den IOC-Listen prüfen: @vpmdhaj/devops-tools, @vpmdhaj/elastic-helper, @vpmdhaj/opensearch-setup, @vpmdhaj/search-setup, app-config-utility, elastic-opensearch-helper, env-config-manager, opensearch-config-utility, opensearch-security-scanner, opensearch-setup, opensearch-setup-tool, search-cluster-setup, search-engine-setup, vpmdhaj-opensearch-setup, forge-jsxy.

Der Fall Sicoob.Sdk zeigt, dass Supply-Chain-Angriffe über npm hinausgehen und das NuGet-Ökosystem aktiv ins Visier nehmen, wobei Angreifer in den Aufbau einer überzeugenden Legitimitätsinfrastruktur investieren – von sauberen GitHub-Repositories bis hin zu glaubwürdigen Publisher-Namen. Organisationen, die mit Finanz-APIs arbeiten, sollten umgehend eine Inventarisierung externer Abhängigkeiten durchführen und sicherstellen, dass keines der genannten Pakete in ihren Build-Pipelines vorhanden ist.