Packagist Supply-Chain-Angriff: 8 Pakete mit Linux-Malwar…

Ein koordinierter Supply-Chain-Angriff auf Packagist hat acht Pakete infiziert. Die Malware wird von GitHub gehostet und zielt auf JavaScript-Projekte ab.

Der Angriff im Detail

Ein neuer koordinierter Supply-Chain-Angriff hat acht Pakete auf Packagist infiziert, die bösartigen Code enthalten, der ein von einer GitHub-Releases-URL heruntergeladenes Linux-Binary ausführt. Sicherheitsforscher von Socket entdeckten die Kampagne und berichteten, dass der schädliche Code nicht in composer.json, sondern in package.json eingeschleust wurde – ein ungewöhnlicher Schritt, der zeigt, wie Angreifer ihre Taktiken anpassen.

Die Angreifer nutzten GitHub als Hosting-Plattform für die ausführbare Linux-Datei. Das Binary wird während der Paketinstallation abgerufen und ausgeführt, was eine Remotekontrolle über das betroffene System ermöglicht. Die Infektion zielt explizit auf Projekte ab, die JavaScript verwenden – selbst wenn die Pakete eigentlich für Composer (PHP) gedacht sind.

Welche Pakete sind betroffen?

Die betroffenen Pakete wurden inzwischen von Packagist entfernt, aber die genauen Namen hat Socket aus Sicherheitsgründen noch nicht veröffentlicht. Es ist jedoch bekannt, dass es sich um beliebte Pakete handelte, die in der PHP-Community weit verbreitet waren. Wenn du eines dieser Pakete in deinem Projekt verwendest, solltest du deine Abhängigkeiten sofort überprüfen.

Warum gerade package.json?

Die Wahl von package.json statt composer.json ist clever: PHP-Entwickler, die auch JavaScript nutzen, erwarten dort keine bösartigen Einträge. Viele CI/CD-Pipelines scannen nur composer.lock oder composer.json – der Schadcode in package.json bleibt so unter dem Radar. Du solltest also nicht nur deine PHP-Abhängigkeiten prüfen, sondern auch die package.json-Dateien in deinen Projekten.

Wie schützt man sich?

Folgende Maßnahmen helfen, solche Angriffe zu erkennen: Überprüfe regelmäßig deine package.json auf ungewöhnliche Skripte oder ausführbare Befehle. Nutze Paket-Scanner wie Socket oder Snyk, die auch auf versteckte Malware achten. Aktualisiere deine Abhängigkeiten nur von vertrauenswürdigen Quellen und meide Pakete, die ungewöhnliche Build-Skripte enthalten.

Fazit: Ein Weckruf für die Open-Source-Community

Dieser Angriff zeigt, dass Supply-Chain-Angriffe immer raffinierter werden. Die Kombination aus Packagist, GitHub und package.json ist neu und gefährlich. Als Entwickler solltest du wachsam bleiben – nicht nur bei deinen primären Paketmanagern, sondern in allen Konfigurationsdateien deines Projekts. Die Zeiten, in denen man blind vertraute, sind vorbei.