Gefährliche npm-Pakete: SSH-Hintertüren auf Linux-Systemen entdeckt

MÜNCHEN (IT BOLTWISE) – In der Welt der Softwareentwicklung sind Sicherheitslücken in der Lieferkette ein wachsendes Problem. Jüngste Entdeckungen zeigen, wie Angreifer npm-Pakete nutzen, um Linux-Systeme zu kompromittieren.

Die Entdeckung von drei bösartigen npm-Paketen, die sich als beliebte Telegram-Bot-Bibliothek tarnen, hat die Sicherheitsgemeinschaft alarmiert. Diese Pakete, die auf den ersten Blick harmlos erscheinen, enthalten jedoch SSH-Hintertüren und Funktionen zur Datenexfiltration. Die Sicherheitsfirma Socket hat diese Pakete identifiziert, die sich als node-telegram-bot-api ausgeben, eine weit verbreitete Node.js-Bibliothek mit über 100.000 wöchentlichen Downloads.

Obwohl diese Zahl im Vergleich zu anderen Bibliotheken bescheiden erscheinen mag, reicht bereits ein kompromittiertes Umfeld aus, um weitreichende Sicherheitsverletzungen zu verursachen. Wie der Sicherheitsforscher Kush Pandya betont, zeigen Vorfälle in der Lieferkettensicherheit immer wieder, dass selbst wenige Installationen katastrophale Folgen haben können, insbesondere wenn Angreifer direkten Zugriff auf Entwickler- oder Produktionssysteme erlangen.

Die bösartigen Pakete ahmen nicht nur die Beschreibung der legitimen Bibliothek nach, sondern nutzen auch eine Technik namens Starjacking, um ihre Authentizität zu erhöhen und ahnungslose Entwickler zu täuschen. Starjacking bezieht sich auf eine Methode, bei der ein Open-Source-Paket populärer gemacht wird, indem es mit dem GitHub-Repository der legitimen Bibliothek verknüpft wird, was die fehlende Validierung der Beziehung zwischen Paket und Repository ausnutzt.

Die Analyse von Socket ergab, dass die Pakete speziell für Linux-Systeme entwickelt wurden und zwei SSH-Schlüssel zur Datei „~/.ssh/authorized_keys“ hinzufügen, wodurch Angreifer dauerhaften Fernzugriff auf den Host erhalten. Das Skript ist darauf ausgelegt, den Systembenutzernamen und die externe IP-Adresse zu sammeln, indem es „ipinfo[.]io/ip“ kontaktiert. Es sendet auch ein Signal an einen externen Server („solana.validator[.]blog“), um die Infektion zu bestätigen.

Besonders heimtückisch ist, dass das Entfernen dieser Pakete die Bedrohung nicht vollständig beseitigt, da die eingefügten SSH-Schlüssel den Angreifern ungehinderten Fernzugriff für nachfolgende Codeausführungen und Datenexfiltration ermöglichen. Diese Enthüllung kommt zu einem Zeitpunkt, da Socket ein weiteres bösartiges Paket namens @naderabdi/merchant-advcash detailliert beschreibt, das darauf ausgelegt ist, eine Reverse-Shell zu einem entfernten Server zu starten, während es sich als Volet-Integration tarnt.

Das Paket @naderabdi/merchant-advcash enthält fest codierte Logik, die eine Reverse-Shell zu einem entfernten Server öffnet, sobald ein Zahlungserfolgshandler aufgerufen wird. Es ist als Dienstprogramm für Händler getarnt, um Kryptowährungs- oder Fiat-Zahlungen zu empfangen, zu validieren und zu verwalten. Im Gegensatz zu vielen bösartigen Paketen, die Code während der Installation oder des Imports ausführen, wird diese Nutzlast bis zur Laufzeit verzögert, insbesondere nach einer erfolgreichen Transaktion. Dieser Ansatz kann helfen, die Erkennung zu umgehen, da der bösartige Code nur unter bestimmten Laufzeitbedingungen ausgeführt wird.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!