Ein vertrauenswürdiges Softwareupdate kann zu einem System für die Verbreitung von Malware werden, wenn Angreifer die Kontrolle über das Konto erlangen, von dem es veröffentlicht wird.
Amazon Threat Intelligence hat vier zwischen März 2025 und März 2026 durchgeführte Angriffe auf die npm-Lieferkette mit Sapphire Sleet in Verbindung gebracht, einem mit Nordkorea verbundenen Bedrohungsakteur. Auf Grundlage von Command-and-Control-Indikatoren und gemeinsamen Taktiken bewertete Amazon die Zuordnung mit mittlerer Sicherheit.
Die Ergebnisse zeigen, warum die Absicherung der Personen und Zugangsdaten hinter Open-Source-Projekten ebenso wichtig sein kann wie das Scannen ihres Codes auf Schwachstellen.
Wie Amazon vier npm-Angriffe miteinander in Verbindung brachte
Fast ein Jahr lang schienen die Kompromittierungen von Axios, Debug, Chalk und typo-crypto eigenständige Sicherheitsvorfälle zu sein.
Amazon erklärt nun, dass Command-and-Control-Indikatoren, die Wiederverwendung von Code, Postinstall-Hooks und andere gemeinsame Taktiken die Vorfälle mit einer einzigen Kampagne verbinden, die sich von März 2025 bis März 2026 erstreckte. Auf Grundlage dieser Belege ordnete Amazon Threat Intelligence die Kampagne mit mittlerer Sicherheit Sapphire Sleet zu, einem mit Nordkorea verbundenen Bedrohungsakteur.
Laut Amazon war die Kompromittierung von Axios zuvor bereits öffentlich dem mit Nordkorea verbundenen Akteur zugeschrieben worden. Das Unternehmen erklärte jedoch, dass die Vorfälle bei typo-crypto, Debug und Chalk zuvor nicht mit derselben Gruppe in Verbindung gebracht worden waren.
Die Verknüpfung der Vorfälle liefert Sicherheitsteams zusätzliche Indikatoren, mit denen sie verwandte Aktivitäten untersuchen und feststellen können, ob dieselbe Kampagne ihre Umgebungen erreicht hat.
Vertrauen wurde zur Angriffsfläche
Im Gegensatz zu vielen Angriffen auf die Software-Lieferkette, so Amazon, begann diese Kampagne nicht damit, dass Angreifer eine zuvor unbekannte Schwachstelle in npm-Paketen entdeckten und ausnutzten. Stattdessen konzentrierte sich die Gruppe Berichten zufolge auf die Entwickler, die für die Pflege weit verbreiteter Pakete verantwortlich sind, und nutzte Social Engineering, um sich zunächst Zugang zu verschaffen und anschließend über legitime Konten schädliche Updates zu veröffentlichen.
Dieser Ansatz verschaffte den Angreifern etwas, das viele Sicherheitskontrollen nur schwer erkennen können: Vertrauen.
„Wenn ein Angreifer ein weit verbreitetes Open-Source-Paket kompromittiert, ist potenziell jede Organisation betroffen, die von diesem Paket abhängt“, schrieb Amazon in seinem Bericht.
Die Kampagne veranschaulicht eine wichtige Veränderung bei Angriffen auf die Software-Lieferkette. Statt eine Schwachstelle im Paket selbst zu suchen, können Angreifer die Personen ins Visier nehmen, die zur Aktualisierung berechtigt sind. Eine schädliche Version, die über das legitime Konto eines Maintainers veröffentlicht wird, kann zunächst wie ein gewöhnliches Softwareupdate aussehen, sodass nachgelagerte Nutzer die Kompromittierung schwerer erkennen.
Wie Unternehmen das Risiko durch Open-Source-Lieferketten reduzieren können
Der Bericht von Amazon spiegelt eine größere Herausforderung wider, vor der Unternehmen stehen. Open-Source-Software ist ein zentraler Bestandteil moderner Anwendungen, doch die Abhängigkeit des Ökosystems von vertrauenswürdigen Maintainerinnen und Maintainers bietet Angreifern auch die Möglichkeit, die Personen und Konten ins Visier zu nehmen, die zur Verbreitung von Code berechtigt sind.
Unternehmen sollten nicht reagieren, indem sie Open-Source-Software vollständig aufgeben. Stattdessen können Entwicklungs- und Sicherheitsteams ihre Gefährdung reduzieren, indem sie ein Inventar ihrer Abhängigkeiten führen, genehmigte Paketversionen festschreiben, die Integrität von Paketen überprüfen, unerwartete Updates überwachen und Änderungen an Paketeigentümerschaft oder Veröffentlichungsberechtigungen prüfen.
Teams sollten außerdem Entwickler- und Registry-Konten mit phishing-resistenter Multifaktor-Authentifizierung schützen und den Kreis der Personen begrenzen, die Produktionsabhängigkeiten veröffentlichen dürfen. Die Ergebnisse von Amazon zeigen, dass die Sicherheit der Software-Lieferkette nicht nur davon abhängt, Schwachstellen im Code zu finden, sondern auch die Identitäten zu schützen, denen die Verbreitung des Codes anvertraut wird.
Weiterführende Lektüre: SAP-Angriff auf die npm-Lieferkette zielt auf Entwicklerzugangsdaten beleuchtet eine weitere Kampagne, bei der schädliche Pakete eingesetzt wurden, um Entwickler und ihre Zugangsdaten ins Visier zu nehmen.