Cybersecurity-Teams haben eine neue Kampagne beschrieben, bei der maliziöse npm-pakete Teil einer gezielten Software-Lieferkettenattacke sind. Im Fokus stehen Nutzer von Entwicklungs-Tools, die mit der Alibaba-Ökosphäre verbunden sind. Aus den scheinbar harmlosen Abhängigkeiten entsteht am Ende ein Remote Access Trojan (RAT), der mehrere Betriebssysteme abdeckt.
Besonders auffällig: Die schädliche Logik ist nicht in einem einzelnen Paket gebündelt. Stattdessen wird sie über eine Kette zusätzlicher Abhängigkeiten verteilt, die zusammenarbeiten – und so erst zur Laufzeit ihre Wirkung entfalten.
Wie die Lieferkettenattacke mit npm funktioniert
Die Forschenden berichten von einem Angriff, der sich gegen chinesischsprachige Entwicklungsumgebungen richtet. Dabei nutzen die Täter das normale npm-Ökosystem: Pakete werden installiert, Abhängigkeiten werden automatisch aufgelöst, und genau dort wird die zusätzliche Funktion eingebaut.
In der Analyse wird beschrieben, dass bestimmte Top-Level-Pakete als Köder dienen. Sie tragen Namen, die an private Pakete unter einem bestimmten Scope angelehnt sind. Wenn die Zielumgebung Zugriff auf diese „nachgeahmten“ privaten Scope-Pakete hat, funktioniert die Abhängigkeitsauflösung scheinbar wie erwartet – nur mit einer Extra-Schicht.
Der Effekt: Beim Installieren wird eine Abhängigkeitskette angestoßen, die schließlich ein Modultreffer liefert, welcher die Loader-Funktion enthält. Diese Komponente holt anschließend eine entfernte JavaScript-Nutzlast (Payload) per Netzwerkaufruf und führt sie aus.
Der Köder „lib-mtop“ und die Rolle des Loader-Mechanismus
Eines der beschriebenen Pakete heißt lib-mtop. Es handelt sich um ein unscoped npm-Paket, das den Namen eines privaten Alibaba-Pakets im @ali-Scope imitiert. Laut Bericht wurde lib-mtop bereits irgendwann im November 2023 veröffentlicht – jedoch ohne erkennbare Funktion.
Erst in den Monaten März und April wurden dann mehrere neue Versionen hochgeladen (u. a. v1.0.1, v1.0.2 und v1.0.3). Damit begann die eigentliche Schadfunktion. Unabhängig davon, ob ein Kontozugriff auf die Maintainer-Seite erfolgte oder ob die verantwortliche Person bewusst „umgeschwenkt“ ist: Die neuen Versionen enthalten einen Loader, der über curl einen Remote-Code herunterlädt und anschließend ausführt.
Mehrere Pakete, verteilt in einer Abhängigkeitskette
Der Bericht macht deutlich, dass die Kampagne nicht auf ein einziges kompromittiertes Paket setzt. Stattdessen tauchen mehrere Pakete im gleichen Abhängigkeitsbaum auf. Die Forschenden nennen als Beispiel eine Art „Mittelstufe“, die als Bridge fungieren soll.
So wurde festgestellt, dass bis zu zehn Köderpakete auf ein Paket namens smart-config-manager verweisen. Diese Komponente wirkt wie eine verbindende Schicht zwischen den Köderpaketen und den tiefer liegenden Paketen, die die Loader-Logik enthalten.
Ein weiteres Detail: Eine der Low-Level-Komponenten kontaktiert anschließend ein GitHub-Repository, um eine Konfigurationsdatei für eine Regel-Engine abzurufen und zu speichern. Diese Regeln werden dann genutzt, um den finalen Schritt vorzubereiten und zu steuern.
Regel-Engine, vm-Modul und Tarnung per Alibaba-ähnlicher Domain
Auffällig ist, dass die Regel-Engine die vm-Funktion des Node.js-Umfelds nutzt. Damit wird der abschließende Payload-Download je nach Opferbetriebssystem gesteuert.
Für den Abruf wird zudem eine Domain verwendet, die visuell an Alibaba erinnert. Der Bericht nennt dafür beispielsweise den Host aone-cli-next.oss-cn-beijing.aliyuncs[.]com. Ziel ist, verdächtige Muster zu vermeiden und die Netzwerkaktivität besser zu tarnen.
Die Forschenden ordnen diese Phase als Teil eines breiteren Modulsystems ein: Aus der anfänglich geladenen JavaScript-Logik entsteht am Ende eine nachgelagerte Malware, die weitere Schritte ausführt.
Was die RAT auf Windows, Linux und macOS macht
Die finalen Aktionen variieren je nach System:
- Windows: Das Schadprogramm beendet unternehmensrelevante Apps wie Sicherheits-, VPN- und Office-Produktivitätssoftware und ersetzt Teile der Kernlogik durch eine trojanisierte Variante.
- Linux: Es lädt eine Binär-Payload nach /tmp, startet sie als abgetrennten Prozess und löscht die Datei anschließend wieder vom Datenträger, nachdem sie in den Speicher geladen wurde.
- macOS: Es fügt ein bösartiges Background-Script in ~/.zshrc ein und richtet zudem einen Launch Agent ein, der für etwa 10 Minuten aktiv ist.
Im nächsten Schritt wird eine komplexe Hintertür bereitgestellt. Diese soll unter anderem Befehle ausführen, Dateien hoch- und herunterladen, Host-Informationen erheben sowie weitere Payloads vorbereiten. Zudem werden Fähigkeiten zur lateralen Bewegung beschrieben.
Darüber hinaus nennt der Bericht eine Persistenzidee, die auf gängigen Enterprise-Kommunikationsanwendungen abzielt. Dazu werden u. a. DingTalk, Wukong und Qoder genannt. Die RAT soll dabei bösartigen Code in diese Anwendungen injizieren und so auch nach Deinstallation bzw. späteren Ereignissen aktiv bleiben.
Warum die Zuordnung schwierig ist – Hinweise deuten auf gezielte Entwicklung
Wer hinter der Kampagne steckt, ist laut Forschenden nicht abschließend geklärt. Dennoch gibt es Hinweise: Der Quelltext enthält chinesischsprachige Kommentare, und GitHub-Commits tragen Zeitstempel im UTC+08:00-Offset. Zusammen spricht das dafür, dass möglicherweise ein chinesischsprachiger Akteur gezielt gegen chinesischsprachige Entwickler vorgeht.
Die Forschenden bewerten das Ziel als stark auf industrielle Spionage ausgerichtet. Die Anzahl der Downloads sei zwar nicht besonders groß, jedoch könne die Auswirkung hoch sein, weil die finale Payload auch für Seitwärtsbewegungen ausgelegt ist.
Welche Pakete betroffen sind
Zum beschriebenen Paketset gehören unter anderem folgende maliziöse npm-pakete bzw. zugehörige Abhängigkeiten:
- lib-mtop
- aone-kit
- aone-kit-cli
- aone-sandbox
- local-config-parser
- smart-config-manager
- cloud-config-fetcher
- fast-transform-pipeline
- aone-cloud-cli
- colder-cli
- def-open-client
- feedback-ai-sdk
- flight-compare-analyzer
- lwp-web-client
- lzd-unified-station-sdk
- open-worker-cli
- test-skill-zip
- uniapi-bridge
Wichtig: Einige der beschriebenen Pakete sollen zunächst als leere Wrapper wirken, die private Scope-Pakete nur als Abhängigkeit deklarieren. Andere enthalten zwar eine „legitime“ Funktion, bringen jedoch unauffällige Abhängigkeiten mit, die erst in der Gesamtkette schädlich werden.
Was Sie jetzt tun sollten
Wenn Sie eines der genannten Pakete installiert haben oder eine Abhängigkeitskette aus diesen Modulen besteht, sollten Sie von einer möglichen Kompromittierung ausgehen.
Die Forschenden empfehlen insbesondere:
- Zugriffsdaten rotieren: Ersetzen Sie sensible Credentials von einer sauberen Umgebung aus.
- Entwicklersysteme prüfen: Achten Sie auf verdächtige Aktivitäten im Kontext von npm-Installationen, untypische Netzwerkverbindungen und auffällige Prozesse.
Da die finale Payload Fähigkeiten zur Persistenz und zur späteren Ausweitung besitzt, ist ein rein oberflächlicher Check oft nicht ausreichend.
Zusätzliche Meldung: kompromittierte Python-Bibliothek
Der Bericht erwähnt außerdem eine zweite, separate Veröffentlichung, die ebenfalls auf Datendiebstahl abzielt. Dabei ging es um eine vergiftete Version eines Python-Pakets namens mrmustard (0.7.4) aus dem Umfeld von Xanadu. Diese Version soll als Information Stealer fungieren, indem sie unter anderem SSH-Private-Keys, AWS-Credentials und Kubernetes-Konfigurationen erfasst und an einen Angreiferserver exfiltriert.
Laut weiteren Angaben soll die Schadfunktion beim Import jedes Pakets laufen, zudem sollen mehrere Persistenzmechanismen aktiv bleiben, auch wenn das Paket später entfernt wird. Auch Umgebungen aus Forschung und HPC werden dabei als Zielbereich beschrieben.
Diese Zusatzmeldung unterstreicht, dass Supply-Chain-Angriffe nicht auf ein einzelnes Ökosystem beschränkt sind.
Fazit: Lieferkettenrisiko ernst nehmen
Die Analyse zeigt sehr konkret, wie maliziöse npm-pakete über Köder und eine Abhängigkeitskette bis zur Ausführung eines Cross-Platform RAT führen können. Entscheidend ist dabei die Kombination aus Loader-Logik, OS-spezifischem Verhalten, Tarnung bei Netzwerkadressen und Persistenzmechanismen.
Wenn bei Ihnen ähnliche npm-Abhängigkeiten im Einsatz sind, sollten Sie umgehend prüfen und Sicherheitsmaßnahmen einleiten. Je früher Sie Credentials rotieren und Systeme auf auffällige Spuren untersuchen, desto besser begrenzen Sie potenzielle Folgen.
Quelle: https://thehackernews.com/2026/08/18-malicious-npm-packages-deliver-cross.html
