Fortschrittlicher npm-Wurm trifft Entwickler innerhalb des Kryptosektors

Das Cybersecurity-Unternehmen SlowMist warnt vor einem neuen und fortschrittlichen Angriff, der sich auf Entwickler innerhalb des Krypto-Ökosystems richtet. Die Malware-Kampagne mit dem Namen “Mini Shai Hulud” verbreitet sich über infizierte npm-Packages und missbraucht laut Forschern vertrauenswürdige Softwareprojekte wie TanStack, UiPath und DraftLab.

Der Angriff richtet sich vor allem gegen Entwicklungsumgebungen und CI/CD-Pipelines wie GitHub Actions. Dabei versuchen die Angreifer, sensible Informationen zu stehlen, darunter Cloud-Schlüssel, GitHub-Credentials und Krypto-Wallets. Laut SlowMist handelt es sich um einen der fortschrittlichsten npm-Würmer, die in letzter Zeit entdeckt wurden.

Angreifer missbrauchen beliebte Entwickler-Tools

Laut SlowMist gelang es den Angreifern, GitHub-Accounts zu übernehmen, über die anschließend bösartige Updates legitimer npm-Packages veröffentlicht wurden. Dadurch konnten infizierte Versionen unbemerkt bei Entwicklern und Unternehmen landen, die der Software vertrauen.

Die Malware installiert eine versteckte Datei mit dem Namen router_init.js. Dieses Skript läuft anschließend unbemerkt im Hintergrund innerhalb von CI/CD-Umgebungen und sammelt sensible Daten von Systemen, auf denen die infizierten Packages aktiv sind.

Dabei konzentrieren sich die Angreifer gezielt auf Informationen wie API-Schlüssel, Cloud-Infrastrukturdaten, GitHub-Tokens und Krypto-Wallets. Die gestohlenen Daten werden anschließend über die GitHub-Infrastruktur weitergeleitet, um eine Entdeckung zu vermeiden. Die Warnung folgt kurz nachdem bekannt wurde, dass gefälschte TronLink-Erweiterungen Wallet-Daten von Nutzern stehlen.

Auf X ansehen

Entwickler erhalten dringende Empfehlungen

SlowMist empfiehlt Entwicklern und Unternehmen, sofort Maßnahmen zu ergreifen, wenn sie die betroffenen Packages verwenden. Das Sicherheitsunternehmen fordert Teams dazu auf, CI/CD-Pipelines auf verdächtige Dateien wie router_init.js zu überprüfen und Systeme genau auf unautorisierte Hintergrundprozesse zu überwachen.

Darüber hinaus empfiehlt SlowMist, alle möglicherweise kompromittierten Credentials umgehend auszutauschen. Dies gilt nicht nur für GitHub-Accounts, sondern auch für Cloud-Schlüssel und kryptobezogene Zugangsdaten.

Weitere technische Details zum Angriff und den zugehörigen Indicators of Compromise wurden über die Sicherheitsplattform von MistEye veröffentlicht, berichtet SlowMist.

Kryptosektor bleibt beliebtes Ziel

Cyberangriffe über Software-Dependencies stellen innerhalb des Kryptosektors schon länger ein großes Risiko dar. Da viele Blockchain-Projekte auf Open-Source-Software und automatisierte Entwicklungsprozesse angewiesen sind, können sich infizierte Packages schnell auf Wallets, Kryptobörsen und Infrastrukturplattformen ausbreiten.

Die Warnung von SlowMist zeigt erneut, wie wichtig die Absicherung von Entwicklungsumgebungen geworden ist. Besonders CI/CD-Systeme enthalten häufig sensible Zugangsschlüssel, die direkten Zugriff auf Gelder, Server oder interne Infrastrukturen ermöglichen können. Gleichzeitig nehmen laut aktuellen Berichten auch KI-Scams innerhalb des Kryptosektors weiter zu.