Ein bösartiges npm-Paket nimmt Entwickler ins Visier, indem es sich als legitimes Kommandozeilen-Tool ausgibt, während es heimlich einen Infostealer und einen Remote-Access-Trojaner (RAT) installiert.
Das Paket @openclaw-ai/openclawai, tarnt sich als OpenClaw-Installer, leitet stattdessen jedoch eine mehrstufige Malware-Attacke ein.
Nach der Ausführung versucht es, Zugangsdaten, Kryptowährungs-Wallets, SSH-Schlüssel, Browserdaten und Entwickler-Token zu stehlen.
„Der Angriff zeichnet sich durch seine umfangreiche Datensammlung, den Einsatz von Social Engineering zum Abgreifen des Systempassworts des Opfers sowie durch die ausgeklügelte Persistenz und C2-Infrastruktur aus“, erklärten JFrog-Forscher.
Die Angriffskette von GhostClaw im Detail
Das bösartige Paket wurde sorgfältig so gestaltet, dass es wie ein legitimes Entwickler-Tool aussieht.
Seine package.json-Konfiguration wirkt normal, und der einsehbare Quellcode enthält harmlose Funktionen, die jeden beruhigen sollen, der das Paket nur oberflächlich prüft.
Der Schadcode ist in Installationsskripten eingebettet, die während der Einrichtung automatisch ausgeführt werden. So können sich die Angreifer unbemerkt festsetzen, ohne sofort Verdacht zu erregen.
Während der Installation installiert ein postinstall-Skript das Paket auf dem System des Opfers heimlich global neu und stellt so sicher, dass die schädliche Binärdatei in den PATH des Systems aufgenommen wird.
Gefälschter Installer und Phase zum Abgreifen von Zugangsdaten
Wenn der Nutzer später den Befehl openclaw ausführt, startet das System ein verschleiertes Einrichtungsskript, das als erste Malware-Phase dient.
Das Skript zeigt eine überzeugende gefälschte Kommandozeilen-Installationsoberfläche mit animierten Fortschrittsbalken, Ladespinnern und Systemprotokollmeldungen, die die Ausgabe einer legitimen Softwareinstallation nachahmen sollen.
Sobald die gefälschte Installation scheinbar abgeschlossen ist, zeigt das Programm eine betrügerische Keychain-Autorisierungsabfrage an, die das Systempasswort des Nutzers verlangt und behauptet, dass Administratorrechte erforderlich seien, um das Tool sicher zu initialisieren.
Anders als typische Phishing-Abfragen überprüft die Malware die Passworteingaben über die echten Authentifizierungsmechanismen des Betriebssystems.
Dadurch verhält sich die Abfrage wie eine echte Systemanfrage, was die Täuschung überzeugender macht.
Während das Opfer versucht, sich zu authentifizieren, lädt das Skript gleichzeitig eine verschlüsselte Payload der zweiten Stufe aus einer von den Angreifern kontrollierten Infrastruktur herunter.
Die Payload wird über eine verschlüsselte Anfrage übertragen und lokal mit AES-256-GCM entschlüsselt.
Nach der Entschlüsselung wird der Code in eine temporäre Datei geschrieben und als Hintergrundprozess ausgeführt. So kann die Malware laufen, während die Installation scheinbar normal abgeschlossen wird.
GhostLoader installiert Persistenz
Die zweite Angriffsstufe – intern als GhostLoader bezeichnet – ist ein umfangreiches JavaScript-Bundle, das sowohl als Informationsdiebstahlprogramm als auch als persistenter RAT fungiert.
Nach der Ausführung installiert sich die Malware in einem versteckten Verzeichnis, das wie ein legitimer npm-Telemetriedienst aussehen soll und ihr so hilft, sich in die normale Aktivität auf dem Entwicklersystem einzufügen.
Um dauerhaft aktiv zu bleiben, verändert die Malware Shell-Konfigurationsdateien wie .zshrc, .bashrc und verwandte Profile.
Diese Änderungen stellen sicher, dass die Malware automatisch gestartet wird, sobald eine neue Terminalsitzung geöffnet wird. Auf Linux-Systemen kann die Malware außerdem Cron-Jobs anlegen, damit sie nach einem Neustart des Systems erneut ausgeführt wird.
Malware stiehlt Entwicklerzugangsdaten und sensible Daten
Bei ihrer ersten Ausführung sammelt die Malware eine große Bandbreite sensibler Informationen, die üblicherweise auf Entwicklersystemen gespeichert sind.
Dazu gehören macOS-Keychain und iCloud-Keychains, Browserzugangsdaten und gespeicherte Zahlungsdaten, Kryptowährungs-Wallets und Wiederherstellungs-Seed-Phrasen, private SSH-Schlüssel, Zugangsdaten für Cloud-Anbieter wie AWS, Azure und GCP sowie Entwickler-Token wie GitHub-CLI-Zugangsdaten und npm-Konfigurationsdateien.
Wenn der Nutzer der Malware vollständigen Festplattenzugriff unter macOS gewährt, erweitert sie ihre Sammelfunktionen noch weiter. In diesen Fällen kann sie Apple-Notizen, den iMessage-Chatverlauf, Safari-Browserdaten und Konfigurationsinformationen von Apple-Mail-Konten abgreifen.
Sobald die Daten gesammelt wurden, werden sie in ein Archiv komprimiert und über mehrere Kanäle an die Infrastruktur der Angreifer exfiltriert.
Dazu gehören direkte Uploads an C2-Server sowie sekundäre Kanäle wie Telegram-Bots und Cloud-Filesharing-Plattformen. So bleibt ein Ersatzweg, falls eine Exfiltrationsroute ausfällt.
Persistenter Zugriff und Übernahme von Browsersitzungen
Nach Abschluss der ersten Datendiebstahlphase wechselt die Malware in einen Modus zur dauerhaften Überwachung.
Das infizierte System kommuniziert regelmäßig mit dem C2-Server der Angreifer, um Anweisungen zu empfangen und den fortlaufenden Zugriff aufrechtzuerhalten.
Von dort aus können die Angreifer Befehle erteilen, um beliebige Shell-Befehle auszuführen, Dateien vom System abzurufen, aktualisierte Malware-Payloads bereitzustellen oder einen SOCKS5-Proxy zu aktivieren, über den die kompromittierte Maschine als Relay für weitere Netzwerkaktivitäten genutzt werden kann.
Eine bemerkenswerte Fähigkeit ist das Klonen von Browsersitzungen.
Die Malware kopiert das Browserprofil des Opfers und startet einen Headless-Browser, der über das Chrome DevTools Protocol mit den Angreifern verbunden ist. Dadurch erhalten diese eine authentifizierte Sitzung, über die sie als das Opfer auf Websites und Dienste zugreifen können.
Da die Sitzungen vorhandene Authentifizierungs-Token und Cookies wiederverwenden, können Angreifer häufig auf Konten zugreifen, ohne Passwörter zu benötigen oder die Multifaktor-Authentifizierung (MFA) zu umgehen.
So lässt sich das Risiko durch bösartige Abhängigkeiten verringern
Die folgenden Maßnahmen können Unternehmen dabei helfen, das Risiko zu verringern, dass bösartige Abhängigkeiten Entwicklungssysteme kompromittieren und sensible Zugangsdaten offenlegen.
- Überprüfen Sie die Echtheit von Paketen, bevor Sie neue Abhängigkeiten installieren, insbesondere wenn deren Namen legitimen Projekten ähneln, und installieren Sie Pakete von verifizierten Herausgebern oder aus vertrauenswürdigen internen Registries.
- Verwenden Sie DevSecOps-Tools, einschließlich Dependency-Scanning und SCA, um bösartige Pakete, verdächtiges Installationsverhalten und anfällige Abhängigkeiten zu erkennen, bevor sie in Entwicklungs-Pipelines gelangen.
- Beschränken oder deaktivieren Sie npm-postinstall-Skripte und globale Paketinstallationen nach Möglichkeit, um zu verhindern, dass Pakete versteckte Installationslogik ausführen oder schädliche Binärdateien im PATH des Systems ablegen.
- Überwachen Sie Entwicklerendpunkte auf verdächtige Aktivitäten wie unerwartete Node.js-Prozesse, abgelöste Kindprozesse, ungewöhnliche Netzwerkverbindungen oder nicht autorisierte Änderungen an Shell-Konfigurationsdateien.
- Setzen Sie auf starke Authentifizierung und sichere Speicherpraktiken und ändern Sie Systempasswörter und SSH-Schlüssel sowie API-Token und Cloud-Zugangsdaten sofort, wenn eine Offenlegung vermutet wird.
- Implementieren Sie Netzwerküberwachung und Egress-Kontrollen , um ungewöhnliche ausgehende Verbindungen, umfangreiche Exfiltrationsversuche oder die Kommunikation mit verdächtiger Infrastruktur wie Telegram-APIs oder unbekannten Domains zu erkennen oder zu blockieren.
- Testen Sie regelmäßig Incident-Response-Pläne in Tabletop-Übungen zu Szenarien einer Kompromittierung der Software-Lieferkette.
In ihrer Gesamtheit helfen diese Maßnahmen Unternehmen, ihre Widerstandsfähigkeit gegenüber Bedrohungen der Lieferkette zu stärken und zugleich den möglichen Schadensradius zu begrenzen, falls eine bösartige Abhängigkeit in Entwicklungsumgebungen eingeführt wird.
Steigendes Risiko durch Open-Source-Abhängigkeiten
Die GhostClaw-Kampagne verdeutlicht einen zunehmenden Trend: Angreifer nehmen Entwickler-Ökosysteme und Open-Source-Paket-Registries als Einstiegspunkte in Unternehmensumgebungen ins Visier.
Indem sie Malware als legitime Entwicklungstools tarnen, können diese Bedrohungen herkömmliche Sicherheitsprüfungen umgehen und auf sensible Zugangsdaten, Cloud-Ressourcen und interne Systeme zugreifen.
Dieser Trend unterstreicht die übergeordnete Bedeutung der Sicherheit der Software-Lieferkette, während Unternehmen daran arbeiten, Entwicklungspipelines und Abhängigkeiten vor Schadcode zu schützen.