Was passiert
Cybersecurity-Experten von CloudSEK und Checkmarx haben eine Malware-Kampagne im npm-Ökosystem aufgedeckt, die sie unter dem Namen MALFEX katalogisieren. Ein Akteur hat seit August 2023 mindestens zwölf manipulierte npm-Pakete veröffentlicht, von denen acht konkret mit Malware infiziert waren. Diese acht Pakete wurden zusammen 40.767 Mal heruntergeladen.
Die Malware bedient sich zweier Angriffsarten: Sie fungiert sowohl als Information Stealer, der sensible Daten vom betroffenen System sammelt, als auch als Remote Access Trojan (RAT). Das RAT wird von den Forschern als Overlord RAT bezeichnet und ermöglicht es dem Angreifer, die kompromittierten Maschinen ferngesteuert zu kontrollieren. Diese Kombination macht die Bedrohung erheblich kritischer als ein einzelner Malware-Typ: Zunächst werden Anmeldedaten, Tokens, Konfigurationsdateien und ähnliche Informationen geklaut, dann bekommt der Angreifer die Möglichkeit, direkt auf dem System zu operieren.
Nach Bewertung der Sicherheitsforscher stammt die Kampagne von einem einzelnen Threat Actor. Die zeitliche Reihe der Veröffentlichungen deutet auf eine konsistente Strategie hin: Der Akteur hat systematisch über einen Zeitraum von mehr als einem Jahr hinweg manipulierte Pakete hochgeladen. Nur acht der zwölf gesamten Uploads wurden jedoch mit funktionierender Malware versehen — die anderen vier könnten Test-Uploads oder fehlgeschlagene Versuche gewesen sein.
Die Pakete wurden über das öffentliche npm-Registry verbreitet, das von Millionen von Entwicklern weltweit genutzt wird. Das macht npm-Kompromittierungen zu einer besonders wirksamen Angriffsform: Wenn ein populäres Paket manipuliert wird, können ganze Abhängigkeitsketten infiziert werden. In diesem Fall war die Infektionsrate allerdings moderat — 40.767 Downloads verteilen sich auf acht Pakete, was bedeutet, dass die betroffenen Repositories nicht zu den Top-Download-Nummern gehörten.
Einordnung
npm-Supply-Chain-Angriffe sind kein neues Phänomen, aber sie bleiben effektiv. Das npm-Ökosystem wächst exponentiell, und die Qualitätskontrolle durch npm Inc. sowie die Adoption von Security-Tools durch Entwickler hinken dem Wachstum hinterher. Die MALFEX-Kampagne reiht sich in eine längere Liste ähnlicher Vorfälle ein: Angefangen von typosquatting-Attacken über konzentrierte Sabotage bis zu Supply-Chain-Würmern.
Ein Schlüsselunterschied zu spektakulären früheren Fällen wie dem XZ Utils-Backdoor oder dem Eslint-Hijacking ist hier die Zielgruppe. Die MALFEX-Pakete waren offenbar nicht auf maximale Reichweite ausgerichtet, sondern auf Persistierung im Netzwerk eines Angreifers. Die Kombination aus Information Stealer und RAT deutet auf einen Akteur hin, der gezielt Node.js-Entwickler oder deren Maschinen angreifen wollte — möglicherweise um Zugang zu internen Systemen oder Entwicklungsumgebungen zu gewinnen.
Der technische Hintergrund: JavaScript-Pakete können beliebigen Code in der install- oder postinstall-Phase ausführen, was bedeutet, dass der Schaden bereits beim einfachen npm install entsteht, bevor der Code überhaupt in die Anwendung integriert wird. Das macht npm zu einem privilegierten Angriffspunkt. Der Overlord RAT ist dabei kein völlig neuer Threat — es existieren verschiedene RAT-Familien mit diesem Namen, die auf unterschiedlichen Plattformen aktiv sind. Dass er hier explizit mit einem Information Stealer kombiniert wird, ist eine etablierte Praktik im modernen Malware-Design.
Die Incident Response-Berichte der beteiligten Sicherheitsfirmen werden vermutlich zu einer Stärkung der Community-Standards führen, ähnlich wie nach früheren npm-Anschlägen. Allerdings zeigt der Fall auch die Grenzen automatisierter Erkennung: 40.000 Downloads bedeuten, dass die Malware einige Zeit unter dem Radar blieb.
Was das bedeutet
Die MALFEX-Kampagne unterstreicht ein grundlegendes Dilemmma der Open-Source-Entwicklung: Je größer die Anzahl der Packages und der automatisierten Prozesse wird, desto schwieriger wird es, jeden einzelnen Upload zu kontrollieren. Entwickler können nicht alle ihre Dependencies vollständig auditieren — das ist ein zeitliches und technisches Unmöglichkeitsurteil. Stattdessen vertrauen sie auf Reputation, Download-Zahlen und Community-Feedback.
Das macht Prävention zur Hauptverteidigungslinie. Software Bill of Materials (SBOM), Policy-Durchsetzung bei der Dependency-Installation und schnellere Erkennung verdächtiger Aktivitätsmuster sind die praktischen Antworten. Auch Organisationen sollten überprüfen, wann und ob diese acht Pakete in ihre Systeme gelangt sind — CloudSEK und Checkmarx haben Details veröffentlicht, die ein Retrospective ermöglichen. Parallel dazu sollte npm selbst verstärkt investieren in Heuristics, die automatisch verdächtige Uploads mit RAT-Funktionalität flaggen, etwa durch statische Codeanalyse bei der Submission.
Die Erkenntnis ist weniger "This is new" als "This is persistent and evolving". Solange npm und andere Package-Manager das primäre Distributionsmedium für Open-Source-Code bleiben, werden Angreifer diesen Vektor nutzen.
