Sicherheitsforscher von Kaspersky haben im npm-Ökosystem das bösartige Paket https-proxy-utils identifiziert. Nach der Installation bezog ein postinstall-Skript den Post-Exploitation‑Framework AdaptixC2 und startete ihn automatisch. Das Paket wurde aus dem Registry entfernt, doch der Vorfall unterstreicht die anhaltenden Risiken von Supply‑Chain‑Angriffen in Open‑Source‑Abhängigkeiten.
Typosquatting in npm: Tarnung als bekannte Proxy-Module
Der Paketname https-proxy-utils zielte auf Verwechslungen mit legitimen Bibliotheken wie http-proxy-agent und https-proxy-agent ab, die zusammen wöchentlich Millionen Downloads verzeichnen. Diese Taktik – häufig als Typosquatting und kontextuelle Imitation bezeichnet – nutzt Gewohnheiten in Entwicklungsteams aus: ein vertraut klingender Name genügt, um eine fehlerhafte Einbindung auszulösen.
Das schädliche postinstall-Skript lud AdaptixC2, ein 2024 erschienenes, erweiterbares C2-Framework (Server in Go, Client in C++/Qt) mit Unterstützung für Linux, Windows und macOS. Wie vergleichbare Werkzeuge für Red‑Teams kann es legitimen Testzwecken dienen, wird aber regelmäßig missbraucht, um Remote‑Zugriff, Prozess‑/Dateiverwaltung und Persistenz in kompromittierten Systemen zu ermöglichen. Sicherheitsberichte dokumentieren Einsätze in realen Vorfällen seit Anfang 2025.
Technische Analyse: Infektionskette auf Windows, macOS und Linux
Windows: Persistenz via DLL Sideloading in Systempfaden
Unter Windows platzierte die Malware eine DLL in C:\Windows\Tasks und nutzte DLL sideloading, um beim Start eines legitimen Binaries die manipulierte Bibliothek zu laden. Dazu wurde msdtc.exe in das gleiche Verzeichnis kopiert und gestartet, wodurch die schädliche DLL automatisch eingebunden wurde. Der Missbrauch eines vertrauenswürdigen Systemprogramms erschwert die Erkennung durch signaturbasierte Kontrollen.
macOS: LaunchAgents und Architektur-Erkennung
Auf macOS wurde die Nutzlast in ~/Library/LaunchAgents abgelegt und per plist-Datei für den automatischen Start registriert. Vorab ermittelte das Skript die Prozessorarchitektur (x64 oder ARM) und lud einen passenden Binary nach. LaunchAgents sorgen für eine dauerhafte Ausführung beim Benutzer-Login und sind ein verbreiteter Persistenzmechanismus.
Linux: Verstecken in temporären Verzeichnissen
Unter Linux speicherte der Agent Artefakte in /tmp/.fonts-unix und setzte Ausführungsrechte. Analog zu macOS wurde ein zur Architektur passender Build bereitgestellt. Temporäre und versteckte Ordner dienen Angreifern häufig zur Verschleierung kurzlebiger Phasen einer Kompromittierung.
Einordnung: Open-Source-Supply-Chain gerät zunehmend ins Visier
Der Fall bestätigt einen längerfristigen Trend: öffentliche Paket-Repositories als Initialzugriff. Prominente Beispiele reichen von event-stream (2018) über UAParser.js (2021) bis zur Kampagne IconBurst (2022). Branchenanalysen – etwa von Sonatype und anderen – beobachten seit Jahren eine Zunahme von Paket-Manipulationen und Typosquatting-Kampagnen. Gleichzeitig werden Techniken wie DLL sideloading oder missbräuchlich genutzte Autostart-Mechanismen immer raffinierter und sind ohne verhaltensbasierte Telemetrie schwer zu erkennen.
Empfehlungen: Maßnahmen für Entwicklung, SecOps und IT-Betrieb
Abhängigkeiten streng steuern: Lockfiles einsetzen, Versionen pinnen, kritische Bibliotheken auf eine Allow‑List setzen und neue Maintainer/Owner sorgfältig prüfen. Änderungen an beliebten Paketen sollten vor dem Rollout validiert werden.
Artefakte verifizieren: Integritätsprüfungen von npm nutzen, Signaturen etablieren (z. B. Sigstore) und Reifegradmodelle wie SLSA berücksichtigen. Build‑Prozesse reproduzierbar gestalten, um Abweichungen zu erkennen.
CI/CD absichern: postinstall-Skripte grundsätzlich blockieren oder nur nach expliziter Freigabe zulassen, Installationen isoliert/sandboxed ausführen und ausgehende Verbindungen der Build‑Agenten überwachen.
Endpoint‑Sichtbarkeit erhöhen: EDR/XDR mit Erkennungsregeln für DLL sideloading, unautorisierte LaunchAgents und auffällige Executables in temporären Pfaden einsetzen. Regelmäßig Autostarts inventarisieren und Rechte in Systemverzeichnissen auditieren.
Awareness stärken: Entwickler für Typosquatting sensibilisieren, Paketnamen, Herausgeber und Veröffentlichungsverlauf prüfen und verdächtige Abhängigkeiten schnell eskalieren.
Der Vorfall um https-proxy-utils zeigt, wie leicht Vertrauen in Open‑Source‑Ökosysteme ausgenutzt werden kann. Teams sollten Policies zu postinstall-Skripten, Autostart‑Mechanismen und Abhängigkeitsmanagement zeitnah überprüfen. Wer Signaturen, reproduzierbare Builds, verhaltensbasierte Telemetrie und strikte Governance kombiniert, unterbricht die Angriffskette bereits vor dem Ausrollen von C2‑Tools – und reduziert so die Angriffsfläche nachhaltig.
