Supply-Chain-Angriff auf AsyncAPI-Entwickler
Fünf bösartige Versionen von AsyncAPI-Paketen sind in das npm-Repository gelangt und haben einen Remote Access Trojan mit Credential-Stealing-Fähigkeiten verbreitet. Dieser Vorfall zeigt einmal mehr, wie anfällig die Open-Source-Lieferketten sind.
Was ist passiert?
Angreifer haben manipulierte Versionen von AsyncAPI-Paketen auf npm hochgeladen. Diese enthielten Malware, die darauf ausgerichtet war, Anmeldedaten und sensible Informationen von Entwicklersystemen zu stehlen. Der Remote Access Trojan ermöglichte es Angreifern zudem, Befehle auf betroffenen Maschinen auszuführen.
Besonders problematisch: AsyncAPI ist ein weit verbreitetes Framework zur Dokumentation asynchroner APIs. Die Pakete wurden von vielen Entwicklern installiert, bevor die Malware entdeckt wurde.
Wie funktioniert ein solcher Angriff?
Bei Supply-Chain-Attacken dieser Art nutzen Angreifer typischerweise eine der folgenden Methoden:
- Kompromittierte Accounts: Übernahme von Developer-Accounts durch Credential-Stuffing oder Phishing
- Typosquatting: Ähnliche Paketnamen zu legitimen Projekten
- Dependency-Confusion: Ausnutzung von Versionierungsmechanismen
In diesem Fall gelang es den Angreifern, direkt Versionen unter bekannten Paketnamen zu veröffentlichen – ein Hinweis auf entweder gestohlene Anmeldedaten oder unzureichend gesicherte Publisherrechte.
Warum ist das kritisch?
Entwickler vertrauen auf npm-Pakete als sichere Abhängigkeiten. Ein kompromittiertes beliebtes Paket kann hunderte oder tausende Projekte infizieren. Die Angreifer erhalten potenziellen Zugriff auf:
- Entwicklersysteme und deren Umgebungsvariablen
- SSH-Schlüssel und API-Tokens
- Quellcode-Repositories
- Cloud-Anmeldedaten
Dies kann zu weiteren Angriffen auf die Kernprojekte dieser Entwickler führen – eine Kaskadenreaktion.
Was können Entwickler tun?
- npm audit: Regelmäßig durchführen, um bekannte Schwachstellen zu erkennen
- Dependency-Scanning: Tools wie Snyk oder GitHub Dependabot nutzen
- Lock-Files:
package-lock.jsonversionskontrollieren - Least Privilege: API-Tokens und Credentials mit minimalen Rechten erstellen
- Monitoring: Ungewöhnliche Aktivitäten in Publisheraccounts überwachen
Npm selbst hat die betroffenen Pakete inzwischen entfernt und die Publisher-Accounts gesperrt. Dennoch ist es ratsam, bereits installierte Versionen zu überprüfen und auf sichere Versionen zu upgraden.