Gefährliche NPM-Pakete zielen auf Roblox-Nutzer mit Daten-Diebstahl-Malware

MÜNCHEN (IT BOLTWISE) – Eine neue Bedrohungskampagne hat die npm-Paket-Repository ins Visier genommen, um Roblox-Nutzer mit Daten-Diebstahl-Malware zu infizieren.

In der jüngsten Bedrohungskampagne haben Angreifer die npm-Paket-Repository infiltriert, um gezielt Roblox-Nutzer mit bösartiger Software zu attackieren. Diese Kampagne nutzt JavaScript-Bibliotheken, die darauf abzielen, Malware wie Skuld und Blank-Grabber auf die Systeme der Nutzer zu schleusen. Diese Malware ist in der Lage, eine Vielzahl von Informationen von infizierten Systemen zu sammeln und an die Angreifer zu übermitteln.

Die Bedrohung zeigt, wie einfach es für Angreifer ist, Lieferkettenangriffe zu starten, indem sie das Vertrauen und menschliche Fehler im Open-Source-Ökosystem ausnutzen. Dabei verwenden sie gängige Malware, öffentliche Plattformen wie GitHub zur Bereitstellung bösartiger Dateien und Kommunikationskanäle wie Discord und Telegram für C2-Operationen, um traditionelle Sicherheitsmaßnahmen zu umgehen.

Zu den betroffenen Paketen gehören unter anderem „node-dlls“ und „rolimons-api“, die versuchen, sich als legitime Pakete auszugeben. „Node-dlls“ imitiert das echte node-dll-Paket, das eine doppelt verkettete Liste für JavaScript bereitstellt, während „rolimons-api“ eine täuschende Variante der Rolimon’s API darstellt. Diese Pakete nutzen die Vertrautheit der Entwickler mit bekannten Namen aus, um Vertrauen zu erwecken.

Die bösartigen Pakete enthalten verschleierten Code, der die Malware Skuld und Blank Grabber herunterlädt und ausführt. Diese Malware-Familien, geschrieben in Golang und Python, sind darauf ausgelegt, eine breite Palette von Informationen zu stehlen und über Discord-Webhooks oder Telegram an die Angreifer zu senden. Um Sicherheitsmaßnahmen zu umgehen, werden die Malware-Binärdateien aus einem von den Angreifern kontrollierten GitHub-Repository abgerufen.

Die Popularität von Roblox in den letzten Jahren hat dazu geführt, dass Angreifer verstärkt versuchen, gefälschte Pakete zu verbreiten, um sowohl Entwickler als auch Nutzer zu attackieren. Bereits Anfang des Jahres wurden mehrere bösartige Pakete entdeckt, die sich als die beliebte noblox.js-Bibliothek ausgaben. Entwickler werden daher dringend dazu angehalten, Paketnamen zu überprüfen und Quellcode sorgfältig zu prüfen, bevor sie diese herunterladen.

Mit dem Wachstum der Open-Source-Ökosysteme und der zunehmenden Abhängigkeit von gemeinsam genutztem Code erweitert sich die Angriffsfläche, was Angreifer dazu veranlasst, nach neuen Möglichkeiten zu suchen, um bösartigen Code einzuschleusen. Diese Vorfälle unterstreichen die Notwendigkeit eines erhöhten Bewusstseins und robuster Sicherheitspraktiken unter Entwicklern.