Amazon Threat Intelligence bringt nordkoreanische Hacker mit bösartigen npm-Supply-Chain-Angriffen in Verbindung
TL;DR
Amazon Threat Intelligence bringt nordkoreanische Hacker mit bösartigen npm-Supply-Chain-Angriffen in Verbindung
Die Open-Source-Welt hat einen Weckruf erhalten. Das Threat-Intelligence-Team von Amazon hat offiziell eine Reihe von gefährlichen Supply-Chain-Angriffen auf das npm-Ökosystem nordkoreanischen staatlich geförderten Hackern zugeschrieben. Dies ist kein gewöhnlicher Vandalismus durch Skript-Kiddies; es handelt sich um eine kalkulierte, hochriskante Kampagne, die die Werkzeuge, die Entwickler täglich nutzen, in trojanische Pferde verwandelt.
Indem sie die Betreuer (Maintainer) beliebter Bibliotheken ins Visier nehmen, umgehen diese Akteure traditionelle Firewalls und gelangen direkt in das Herz der globalen Unternehmensinfrastruktur. Es ist ein mutiger Schritt, der das Vertrauen, das wir alle in den Open-Source-Lebenszyklus setzen, als Waffe einsetzt.
Das Ausmaß der Kompromittierung
Die Gruppe hinter diesen Angriffen – bekannt unter einer wechselnden Liste von Aliasnamen wie SAPPHIRE SLEET, STARDUST CHOLLIMA, BlueNoroff, CageyChameleon und Alluring Pisces – spielt nicht im kleinen Rahmen. Sie haben es auf die Schwergewichte abgesehen.
Der alarmierendste Vorfall betrifft die axios-Bibliothek, ein Grundpfeiler der modernen Webentwicklung mit über 100 Millionen wöchentlichen Downloads. Wenn ein derart allgegenwärtiges Paket kompromittiert wird, ist der Wirkungsbereich praktisch unendlich. Amazon hat die nordkoreanische Verbindung zur Korruption mehrerer grundlegender Tools bestätigt, doch die Situation spitzte sich im September 2025 zu.
In diesem Zeitraum gelang es den Angreifern, die Pakete debug und chalk zu kompromittieren. Untersuchungen von Secarma deuten darauf hin, dass bei dieser speziellen Operation Skripte zum Diebstahl von Wallets in 18 verschiedene Pakete eingeschleust wurden, die zusammen auf über 2 Milliarden Downloads pro Woche kommen.
| Kompromittiertes Paket | Primäre Auswirkung | Geschätzte wöchentliche Downloads |
|---|---|---|
axios |
Backdoor/Unbefugter Zugriff | > 100 Millionen |
debug |
Wallet-Drainer-Skript | Signifikant (Teil der 2 Mrd. gesamt) |
chalk |
Wallet-Drainer-Skript | Signifikant (Teil der 2 Mrd. gesamt) |
typo-crypto |
Bösartige Code-Injektion | Variabel |
Methodik: Der menschliche Faktor
Vergessen Sie das Brute-Forcing von Servern oder die Suche nach Zero-Day-Exploits in komplexem C++-Code. Diese Angreifer haben erkannt, dass das schwächste Glied in der Kette nicht die Software ist, sondern der Mensch vor der Tastatur.
Die Gruppe setzt stark auf Social Engineering. Sie erstellen täuschend echte Domains, um Paket-Maintainer zu phishen und sie dazu zu bringen, ihre Anmeldedaten preiszugeben. Sobald sie die Schlüssel zum Königreich haben, veröffentlichen sie einfach ein „legitimes“ Update in der npm-Registry. Da das Update von einem vertrauenswürdigen Konto stammt, passiert es die standardmäßigen Sicherheitsfilter problemlos.
Die technische Ausführung ist ebenso rücksichtslos. Sie nutzen Post-Install-Hooks – Skripte, die in dem Moment ausgeführt werden, in dem ein Paket installiert wird. Dies verschafft den Angreifern sofort einen Fuß in der Tür der Zielumgebung, oft bevor ein Sicherheitsteam überhaupt bemerkt, dass ein Update stattgefunden hat.
Das Erschreckende daran? Die Kompromittierung von debug und chalk im September 2025 blieb fast zehn Monate lang unentdeckt. Zehn Monate lang verbreitete sich der bösartige Code stillschweigend in Produktionsumgebungen weltweit und wartete auf den richtigen Moment für den Angriff.
Strategische Auswirkungen auf die Open-Source-Sicherheit
Dies markiert einen Wandel in der Art und Weise, wie geopolitische Akteure agieren. Durch die Abkehr von direkten Netzwerkangriffen hin zur Software-Lieferkette haben diese Gruppen eine enorme Hebelwirkung erzielt. Warum tausende Unternehmen einzeln angreifen, wenn man einen Maintainer kompromittieren und tausende nachgelagerte Anwendungen auf einmal beeinflussen kann?
Die Verbindung zwischen dem npm-Hijack und nordkoreanischen Akteuren beweist, dass das „Vertrauen-per-Standard“-Modell der Open-Source-Entwicklung offiziell tot ist. Wir befinden uns jetzt in einer Zero-Trust-Ära. Wenn Sie Code von Drittanbietern einbinden, müssen Sie jedes Update als potenzielle Bedrohung betrachten.
Die Erkenntnisse aus dem Amazon-Bericht sind eindeutig:
- Social Engineering dominiert: Das Phishing von Maintainern ist die neue Frontlinie.
- Automatisierte Ausführung: Post-Install-Hooks sind das primäre Transportmittel für Schadcode.
- Persistenz ist entscheidend: Diese Angriffe sind darauf ausgelegt, monatelang, nicht nur tagelang, verborgen zu bleiben.
- Staatlich geförderte Absicht: Hier geht es nicht nur um den Diebstahl von Kryptowährungen; es geht um langfristige, gut finanzierte Wirtschaftsspionage.
Schadensbegrenzung und Verteidigungsstrategie
Wie verteidigt man sich also gegen einen Feind, der bereits innerhalb der Tore ist? Es beginnt mit einem Umdenken. Unternehmen müssen aufhören, das Abhängigkeitsmanagement als zweitrangig zu betrachten. Während Tools wie Amazon Inspector für das Erkennen bekannter Schwachstellen unerlässlich sind, sind sie kein Allheilmittel.
Um eine wirklich widerstandsfähige Verteidigung aufzubauen, sollten Sicherheitsteams Folgendes in Betracht ziehen:
- Dependency Pinning: Verwenden Sie keine Versionsbereiche mehr. Pinnen Sie auf spezifische Hashes, damit Sie genau wissen, welcher Code in Ihrer Pipeline ausgeführt wird.
- Registry-Überwachung: Behalten Sie Änderungen an Paket-Maintainern im Auge. Wenn ein Paket mit hohem Traffic plötzlich den Besitzer wechselt, sollte dies ein Warnsignal auslösen.
- Code-Auditing: Wenn eine Abhängigkeit kritisch ist, behandeln Sie sie wie Ihren eigenen Code. Prüfen Sie sie regelmäßig, insbesondere wenn sie sensible Daten verarbeitet.
- Sandboxing: Bauen und implementieren Sie in isolierten Umgebungen. Wenn eine Abhängigkeit versucht, einen bösartigen Command-and-Control-Server zu kontaktieren, sollte sie in einer Sandbox gefangen sein, in der sie keinen Schaden anrichten kann.
Die Software-Lieferkette ist zum primären Schlachtfeld für staatlich geförderte Cyberkriege geworden. Da diese Gruppen ihre Taktiken verfeinern und ihre Operationen skalieren, ist die Sicherheit des Open-Source-Ökosystems nicht mehr nur ein „Entwickler“-Problem, sondern eine grundlegende Anforderung für die globale digitale Infrastruktur. Bleiben Sie wachsam, pinnen Sie Ihre Abhängigkeiten und vertrauen Sie niemals einem Update, nur weil es vertraut aussieht.
