Microsoft entdeckt kryptodiebende Malware in npm-Paketen

Microsoft hat zwei kompromittierte npm-Pakete identifiziert, über die unbemerkt Schadsoftware verteilt wurde. Die Malware ist darauf ausgelegt, kryptorelevante Zugangsdaten abzugreifen, darunter Wallet-Credentials, sowie weitere sensible Informationen wie Tastatureingaben und Screenshots. Für die Datenabführung sollen die Angreifer Repositories auf Hugging Face genutzt haben, was die Erkennung durch Sicherheitsüberwachung erschweren kann. Nach Angaben von Microsoft Threat Intelligence handelt es sich bei den betroffenen Paketen um utilsterminal@3.2.1 und loggeractive@3.2.1. Beide enthielten einen Remote-Access-Trojaner (RAT), der Keylogging, Screenshot-Erstellung und das Sammeln von Login-Daten sowie kryptobezogenen Informationen auf infizierten Systemen ermöglicht. Da npm zu den weltweit größten Software-Registries zählt, können manipulierte Abhängigkeiten eine große Zahl von Entwicklerinnen und Entwicklern erreichen, die diese Pakete unwissentlich installieren. Besonders relevant ist der Vorfall für Krypto-Nutzer und Blockchain-Entwicklungsteams: Auf Entwicklungsrechnern finden sich häufig Browser-Wallets, API-Zugangsdaten, Cloud-Access-Tokens und Quellcode-Repositories mit Bezug zu Digital-Asset-Projekten. Gelangen Angreifer an diese Ressourcen, drohen kompromittierte Wallets, Entwicklungsinfrastruktur oder automatisierte Handelssysteme. Microsoft zufolge setzten die Angreifer bei der Exfiltration auf Hugging Face als vertrauenswürdige Plattform, um entwendete Daten abzuleiten. Der Ansatz passt zu einem breiteren Trend: Cyberkriminelle nehmen zunehmend Software-Lieferketten ins Visier, indem sie weit verbreitete Tools und Dependencies kompromittieren, statt einzelne Opfer direkt anzugreifen. Der Fund reiht sich in mehrere jüngere Kampagnen ein, die auf Krypto- und KI-Entwickler abzielen. In der Vergangenheit wurden bereits bösartige Pakete in Ökosystemen wie npm, PyPI und Rust entdeckt, die Wallet-Daten, SSH-Keys und Cloud-Zugangsdaten abgreifen sollten. Solche Angriffe weisen in der Regel nicht auf Schwächen der Blockchain-Netzwerke hin; im Fokus steht meist der Diebstahl von Zugangsdaten auf Endgeräten, nicht das Brechen kryptografischer Grundlagen. Microsoft empfiehlt, installierte Pakete zu überprüfen, verdächtige Abhängigkeiten zu entfernen, potenziell kompromittierte Zugangsdaten zu rotieren und Wallet-Aktivitäten auf unautorisierte Transaktionen zu überwachen. Sicherheitsfachleute raten zudem, Seed-Phrases offline zu verwahren und Softwarequellen vor der Installation sorgfältig zu verifizieren.