ClickFix-Phishing eskaliert: npm-Pakete und neue Malware-Familien
Kern-News: npm-Ökosystem als Phishing-Infrastruktur missbraucht
Cybersicherheitsforscher haben eine koordinierte Kampagne aufgedeckt, bei der 24 npm-Pakete als kostenlose Phishing-Infrastruktur zweckentfremdet werden. Laut The Hacker News nutzen die Angreifer diese Pakete, um Nutzer auf gefälschte Cloudflare-CAPTCHA-Seiten umzuleiten, die dem sogenannten ClickFix-Schema folgen. Das Besondere an dieser Kampagne: Die npm-Pakete selbst dienen nicht der Verbreitung von Malware, sondern als Redirect-Mechanismus zu phishing-gehosteten Seiten, die über das unpkg-CDN-Netzwerk verteilt werden.
Parallel dazu beschreiben Forscher zwei neue Malware-Familien, die eng mit ClickFix-Kampagnen verflochten sind. Wie The Hacker News und Dark Reading berichten, nutzen die Bedrohungsakteure WordlistLoader und SynkLoader, um Amatera, einen Infostealer mit wachsender Präsenz, sowie weitere Zweit-Stage-Payloads auszuliefern. WordlistLoader arbeitet dabei mit einer besonders raffinierten Methode: Die Malware versteckt sich als harmlose Textdatei oder Wortliste, um klassische Erkennungssysteme zu umgehen. SynkLoader wiederum zielt spezialisiert auf Windows-Passwörter ab und wird vermutlich zur Verkaufung von Netzwerkzugang an Ransomware-Gruppen genutzt.
Die Infrastruktur offenbart ein ausgeklügeltes Ökosystem: Angreifer nutzten npm-Pakete mit täuschend echten Namen (z. B. als vermeintliche Hilfsbibliotheken), um Entwickler zu täuschen oder bestehende Repositories zu hijacken. Die Pakete selbst sind nicht infiziert, sondern fungieren als legitime Umleitungsmechanismen. Sobald ein Benutzer auf den Link klickt, wird er auf eine gefälschte CAPTCHA-Seite weitergeleitet, wo Zugangsdaten abgegriffen werden. Von dort aus erfolgt die Auslieferung von WordlistLoader oder SynkLoader als zweite Angriffsstufe.
Warum für DACH-Entwickler und Unternehmen kritisch
Die npm-Supply-Chain ist für deutsche und österreichische Softwareentwickler eine kritische Abhängigkeit. Zehntausende deutscher Entwickler und Unternehmen nutzen npm-Pakete täglich in ihren Projekten. Eine Kompromittierung dieser Pakete gefährdet direkt die Lieferkette — nicht nur einzelner Anwendungen, sondern potenziell von Millionen Endnutzern. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und europäische Cybersicherheitsräte haben wiederholt vor Supply-Chain-Risiken im Open-Source-Ökosystem gewarnt.
Die DSGVO verschärft die Situation für deutsche Unternehmen zusätzlich. Falls ein DACH-Unternehmen ein kompromittiertes npm-Paket nutzt und davon Nutzerdaten abfließen, muss dies der Aufsichtsbehörde gemeldet werden — unabhängig davon, ob das Unternehmen selbst das Paket geschrieben hat. Dies gilt besonders für Datenverarbeitungsprozesse, bei denen Drittanbieter-Pakete Benutzerdaten anfassen. Die Verantwortlichkeit liegt oft beim Integrierenden, nicht beim Paket-Autor.
Zusätzlich greift hier der EU-AI-Act und künftig auch die NIS-2-Direktive. Softwarelieferketten gelten als kritische Infrastruktur, wenn sie Energie, Telekommunikation, Banken oder öffentliche Dienste treffen. DACH-Unternehmen müssen nachweisen können, welche Open-Source-Abhängigkeiten sie nutzen und wie sie diese auf Kompromittierung überwachen. Passive Nutzung ungeprüfter npm-Pakete gilt schnell als fahrlässig, wenn später ein Sicherheitsincident eintritt.
Das Phishing-Ziel ClickFix-Schema ist bekannt, zielt aber zunehmend auf Entwickler-Accounts ab. Wenn ein Entwickler sein GitHub-, npm- oder Cloud-Passwort über eine gefälschte CAPTCHA-Seite preisgibt, kann der Angreifer Repositories hijacken oder Pakete hochfahren — mit direktem Zugriff auf Tausende abhängiger Projekte.
Was DACH-Organisationen jetzt tun sollten: Dependency-Auditing mit Fokus auf Umleitungsmechanismen
Eine einzelne Maßnahme hebt sich hervor: Implementierung eines automatisierten Software-Composition-Analysis (SCA)-Tools, das nicht nur auf bekannte CVEs prüft, sondern auch auf verdächtige Netzwerk-Behavior in npm-Paketen abzielt — insbesondere auf HTTP-Redirects, die auf externe unpkg-URLs oder unbekannte Domains zeigen. Tools wie npm audit, Snyk oder Sonatype Nexus IQ bieten solche erweiterten Analysen, müssen aber mit benutzerdefinierten Regeln konfiguriert werden, um Umleitungsmuster zu erkennen.
Die Standard-npm-audit-Befehle greifen hier zu kurz, weil sie nur bekannte Schwachstellen suchen, nicht verdächtige architektonische Muster. Ein praxisnahes Vorgehen für DACH-Teams: npm-Abhängigkeiten einer manuellen Code-Review unterziehen, insbesondere Pakete, die kürzlich aktualisiert wurden oder von neuen Accounts veröffentlicht wurden. Darüber hinaus sollten Entwickler-Accounts mit starker Zwei-Faktor-Authentifizierung (2FA) gesichert sein, um Phishing-Angriffe wie die beschriebenen WordlistLoader-Kampagnen zu erschweren. Im Kontext von KI-Supply-Chain-Risiken zeigt sich, dass automatisierte Erkennung allein nicht ausreicht — menschliche Auditoren bleiben zentral.
Zusätzlich empfiehlt sich die Adoption eines Zero-Trust-Ansatzes für interne Dependency-Management-Pipelines, wie er in Zero-Trust-Frameworks für Cloud-Infrastruktur beschrieben wird. Jedes npm-Paket sollte als potenzielle Angriffsoberfläche betrachtet werden, bis sein Verhalten explizit validiert ist. Für Unternehmen mit hohem Compliance-Druck ist eine lokale npm-Registry (npm Artifact Repository oder vergleichbar) ein bewährter Weg, um Pakete vor interner Nutzung zu kuratieren und zu signieren.
Mehr zum Thema im Ressort KI-Pentesting.