Malicious NuGet Sicoob stiehlt Banking-Daten

Ein bösartiges NuGet-Paket gibt sich als Sicoob SDK aus und stiehlt Banking-Zugangsdaten. Auch npm-Pakete gefährden Cloud-Secrets. Erfahren Sie, wie Sie…

Die Tarnung: Sicoob.Sdk als trojanisches Pferd

Cybersecurity-Forscher von Socket haben eine bösartige NuGet-Paketreihe entdeckt, die sich als C# Software Development Kit für Sicoob ausgibt – eines der größten genossenschaftlichen Finanzsysteme Brasiliens. Die Versionen 2.0.0 bis 2.0.4 von "Sicoob.Sdk" enthalten eine Funktion, die sensible Daten wie Client-IDs und PFX-Zertifikate ausleitet.

So funktioniert der Angriff

Das Paket simuliert eine legitime SDK-Installation. Sobald ein Entwickler es in sein Projekt einbindet, wird im Hintergrund ein PowerShell-Skript ausgeführt. Dieses Skript extrahiert PFX-Zertifikate – die zur Authentifizierung in Finanzsystemen dienen – und sendet sie an einen vom Angreifer kontrollierten Server. Gleichzeitig werden Client-IDs abgegriffen, die für API-Zugriffe benötigt werden.

Sie denken, Ihr Unternehmen sei nicht betroffen? Falsch. Jedes Entwicklerteam, das NuGet-Pakete von Drittanbietern verwendet, könnte unwissentlich eine solche Hintertür installieren.

npm-Pakete: Die nächste Gefahrenquelle

Doch nicht nur NuGet ist betroffen. Parallel dazu haben Sicherheitsforscher eine Reihe von npm-Paketen identifiziert, die auf Cloud-Secrets abzielen. Diese Pakete tarnen sich als nützliche Hilfsbibliotheken, enthalten aber Code, der Zugangsschlüssel zu AWS, Azure oder Google Cloud stiehlt.

Ein Beispiel: Das Paket "cloud-secrets-helper" wurde über 10.000 Mal heruntergeladen, bevor es entdeckt wurde. Es enthält eine Routine, die Umgebungsvariablen wie AWS_ACCESS_KEY_ID ausliest und an einen Command-and-Control-Server sendet.

Warum diese Angriffe so gefährlich sind

Die Angreifer nutzen Vertrauen aus. Entwickler laden Pakete herunter, ohne den Quellcode zu prüfen – das ist verständlich, aber riskant. Wenn ein Paket erst einmal im Build-Prozess ist, kann es unbemerkt Daten exfiltrieren. Besonders heikel: PFX-Zertifikate sind oft nicht rotiert, selbst nach einem Vorfall.

Die Daten zeigen: Es reicht nicht, nur auf offizielle Quellen zu vertrauen. Auch Pakete in angesehenen Repositories können kompromittiert sein.

Schutzmaßnahmen für Entwickler und Unternehmen

Was können Sie tun? Erstens: Verwenden Sie Tools wie Socket oder Dependabot, die Abhängigkeiten auf verdächtiges Verhalten scannen. Zweitens: Führen Sie regelmäßige Audits Ihrer Paketquellen durch – insbesondere bei Finanzanwendungen. Drittens: Implementieren Sie eine Richtlinie, die nur geprüfte und signierte Pakete zulässt.

Ein weiterer Tipp: Mehr zum Thema Cybersecurity finden Sie in unseren anderen Artikeln. Und vergessen Sie nicht: Cloud-Secrets gehören in einen sicheren Vault, nicht in Umgebungsvariablen.

Fazit: Wachsamkeit ist der beste Schutz

Die Bedrohung durch bösartige Open-Source-Pakete wächst. Das Sicoob-SDK ist nur ein Beispiel von vielen. Entwickler müssen proaktiv handeln, um ihre Anwendungen und Kundendaten zu schützen.

Sie können nicht jedes Paket selbst prüfen – aber Sie können automatisierte Sicherheitstools nutzen. Und wenn Sie unsicher sind: Fragen Sie Ihr Security-Team. Ein einziger Fehler kann Ihr gesamtes System gefährden.