Nordkoreanische staatlich unterstützte Hacker haben ihre laufende Kampagne Contagious Interview eskaliert und eine der ausgefeiltesten Supply-Chain-Attacken entfesselt, die jemals im Open-Source-Ökosystem beobachtet wurden.
Sicherheitsforscher entdeckten 338 bösartige npm-Pakete, die mehr als 50.000-mal heruntergeladen wurden und gezielt Entwickler aus den Bereichen Kryptowährungen und Blockchain angriffen.
Diese Operation im Stil einer Fabrik nutzte sowohl das Vertrauen, das der Open-Source-Entwicklung innewohnt, als auch die sozialen Verhaltensweisen technischer Fachkräfte aus und veranschaulicht, wie staatliche Akteure weiterhin Software-Lieferketten für finanziellen und strategischen Gewinn instrumentalisieren.
Social Engineering und die Rekrutierungsfalle
Die Kampagne beginnt mit einer ausgeklügelten Social-Engineering-Phase. Die Angreifer geben sich auf LinkedIn als Recruiter oder Personalverantwortliche aus und konzentrieren sich auf Entwickler, die auf Blockchain-, Web3- oder Kryptowährungstechnologien spezialisiert sind.
Die Opfer erhalten scheinbar legitime Jobangebote und werden aufgefordert, im Rahmen eines angeblichen Bewerbungsgesprächs Programmieraufgaben zu erledigen.
In einem aktuellen Fall wurde ein Softwareentwickler aufgefordert, ein Repository zu klonen, das eine bösartige npm-Abhängigkeit namens eslint-detector.
Das Paket enthielt verschlüsselte Payloads, die Browser-Zugangsdaten, API-Token und Daten aus Kryptowährungs-Wallets abgreifen sollten.
Die Angreifer erhöhten die Infektionswahrscheinlichkeit, indem sie künstliche Dringlichkeit erzeugten – enge Fristen für Bewerbungsgespräche und scheinbar routinemäßige Einrichtungsanweisungen – und die Opfer dazu drängten, npm install auszuführen, ohne den Code zu überprüfen.
Dieser Vorwand einer Rekrutierung ermöglicht es den Angreifern, herkömmliche Phishing-Abwehrmaßnahmen zu umgehen. Da die Installation scheinbar innerhalb eines normalen Entwicklungs-Workflows erfolgt, erkennen Antivirensysteme und Endpoint-Schutztools diese bösartigen Abhängigkeiten häufig nicht.
Technische Raffinesse und Auslieferung der Malware
Die neueste Welle der Contagious-Interview-Kampagne zeigt eine deutliche technische Weiterentwicklung. Frühere Varianten stützten sich hauptsächlich auf BeaverTail-Malware-Dropper.
Diese neuere Angriffswelle führte drei neue Loader-Familien ein – HexEval, XORIndex und verschlüsselte Loader –, die bösartigen Code direkt im Arbeitsspeicher rekonstruieren.
Dieser Ansatz der Ausführung im Arbeitsspeicher minimiert erkennbare Spuren auf der Festplatte und erschwert die statische Analyse sowie herkömmliche Malware-Scans.
Nach der Ausführung laden diese Loader typischerweise die Backdoor InvisibleFerret nach, eine plattformübergreifende Malware, die auf Persistenz ausgelegt ist und die Ausführung von Befehlen aus der Ferne ermöglicht.
Die Angriffskette nutzt npm-Lifecycle-Hooks – etwa postinstall –, um bei der Installation oder beim Import automatisch die Codeausführung auszulösen.
Die bösartigen Pakete tarnen sich häufig als gängige Abhängigkeiten in Node.js- und Express-Umgebungen. Die Angreifer stellen typosquattete Versionen weit verbreiteter Pakete bereit, darunter express, dotenv und body-parser.
Andere imitieren Bibliotheken für die Kryptowährungsentwicklung wie ethers.js und web3.js. Indem sie das Vertrauen und die eingeübten Gewohnheiten von Entwicklern ausnutzen, fügen sich diese gefälschten Pakete nahtlos in alltägliche Projektumgebungen ein.
Command-and-Control-Infrastruktur (C2)
Nach der Installation verbindet sich die Malware über HTTP-, HTTPS- oder WebSocket-Protokolle mit Command-and-Control-Servern (C2).
Die Analyse der Infrastruktur zeigt ein hybrides Setup: unverschleierte IP-Adressen auf handelsüblichen virtuellen privaten Servern, kombiniert mit Frontend-Beacons auf legitimen Plattformen wie Vercel.
Dieses Design lässt den Datenverkehr harmlos erscheinen, indem es entwicklerbezogene Webanfragen über URIs wie „/api/ipcheck“ oder „/process-log“ nachahmt.
Die BeaverTail-Malware stellt Persistenz her, indem sie den kompromittierten Host registriert und für langfristigen Zugriff vorbereitet. Anschließend lädt sie InvisibleFerret nach, das auf Windows-, macOS- und Linux-Systemen läuft.
Dieser zweistufige Ansatz verschafft den Angreifern einen dauerhaften Fuß in der Tür und ermöglicht den Diebstahl von Zugangsdaten, Keylogging und Datenexfiltration über mehrere Betriebssysteme hinweg.
Forscher weisen darauf hin, dass bösartige npm-Pakete nach ihrer Entdeckung und Entfernung rasch unter neuen Aliasen hochgeladen werden. Diese iterative Taktik zeigt die Beharrlichkeit und die Organisation im industriellen Maßstab hinter der Kampagne.
Ziele
Das letztliche Ziel der Operation Contagious Interview scheint finanzieller Gewinn durch den Diebstahl von Kryptowährungen zu sein. Sobald sie in die Umgebung eines Entwicklers eingedrungen sind, können die Angreifer private Schlüssel, Zugangsdaten und Wallet-Daten abziehen – wertvolle Ressourcen in Ökosystemen der dezentralisierten Finanzwirtschaft.
Berichten zufolge haben nordkoreanische Bedrohungsgruppen zusammen mehr als 2 Milliarden US-Dollar im Jahr 2025 gestohlen allein – ein Beleg für die Rentabilität und das Ausmaß dieser Operationen.
Die Kampagne verdeutlicht zudem die weitreichenderen Auswirkungen auf die Sicherheit von Lieferketten. Indem sie Open-Source-Registries wie npm kompromittieren, können Angreifer Software-Pipelines weltweit vergiften und sowohl einzelne Entwickler als auch nachgelagerte Großorganisationen erreichen.
Empfehlungen für die Abwehr
Die Abwehr von Kampagnen wie Contagious Interview erfordert sowohl technische Kontrollen als auch einen kulturellen Wandel in den Entwicklungspraktiken.
Sicherheitsforscher empfehlen, jede npm-Installation als potenzielles Ereignis zur Codeausführung zu behandeln. Unternehmen sollten automatisierte Prüfungen von Abhängigkeiten implementieren und Prüfungen vor dem Zusammenführen erzwingen, um die Herkunft und Vertrauenswürdigkeit externer Bibliotheken zu validieren.
Registries wie npm müssen außerdem die Durchsetzung auf Kontoebene verbessern, indem sie bösartige Publisher sperren, Zugriffstoken widerrufen und eine Multi-Faktor-Authentifizierung verlangen. Prüfungen vor der Veröffentlichung und eine Drosselung der Upload-Rate können helfen, verdächtige Upload-Muster zu erkennen und eine groß angelegte Infiltration zu verhindern.
Für einzelne Entwickler ist Wachsamkeit ebenso entscheidend. Jobsuchende sollten die Identität von Recruitern überprüfen, die Ausführung nicht verifizierten Codes vermeiden und Abhängigkeitslisten vor der Installation prüfen.
Die nordkoreanische Kampagne Contagious Interview zeigt, wie staatlich unterstützte Akteure ihre Methoden durch die Kombination menschlicher Täuschung mit technischer Raffinesse weiter verfeinern.
Durch das Eindringen in die Open-Source-Lieferkette verwischen diese Angreifer die Grenze zwischen vertrauenswürdigen Entwicklungspraktiken und bösartiger Kompromittierung.