Schädliche npm-Pakete: PostCSS-Tools liefern Windows-RAT

Sicherheitsforscher fanden bösartige npm-Pakete, die als PostCSS-Tools getarnt sind und einen Windows-RAT installieren. Erfahren Sie, wie Sie sich schüt…

Was ist passiert?

Drei neue npm-Pakete – aes-decode-runner-pro, postcss-minify-selector und postcss-minify-selector-parser – enthalten versteckte Schadsoftware. Sie geben vor, nützliche PostCSS-Helfer zu sein, laden aber im Hintergrund einen Remote Access Trojan (RAT) für Windows herunter. Insgesamt wurden die Pakete fast 1.000 Mal heruntergeladen – ein gefährlicher Trend.

Die Pakete im Detail

Der Nutzer „asdasdas“ veröffentlichte die Pakete innerhalb des letzten Monats. postcss-minify-selector-parser erzielte mit 615 Downloads die höchste Reichweite, gefolgt von postcss-minify-selector (256) und aes-decode-runner-pro (145). Der Code täuscht harmlose Funktionen vor, enthält aber einen Base64-kodierten Payload, der eine ausführbare Datei von einem entfernten Server lädt. Diese Datei installiert dann den RAT, der Tastatureingaben protokolliert, Screenshots macht und Daten exfiltriert.

Besonders perfide: Die Pakete nutzen vertrauenswürdige PostCSS-Namen – genau das, was Entwickler suchen, die ihren Build-Prozess optimieren wollen. Hier wird dir eine Falle gestellt. Jeder, der npm install postcss-minify-selector ausführt, riskiert eine Kompromittierung seines Systems.

Warum ist das gefährlich?

Ein RAT gibt Angreifern nahezu volle Kontrolle über den infizierten Rechner. Passwörter, Unternehmensdaten, private Dokumente – alles ist in Gefahr. Die Pakete sind ein Paradebeispiel für Malware, die sich als Open-Source-Bibliothek tarnt. Viele Entwickler vertrauen blind auf den npm-Registry, ohne die Abhängigkeiten zu prüfen. Das ist ein Fehler.

Die Daten zeigen: Die Downloads kommen nicht nur von Einzelpersonen, sondern auch aus Unternehmen, deren CI/CD-Pipelines automatisch Pakete installieren. Ein einziger infizierter Build-Server kann ein ganzes Netzwerk gefährden.

Wie erkennst du solche Pakete?

Drei Warnsignale helfen dir, bösartige Pakete zu identifizieren:

• Neu erstellte Konten mit wenigen oder keinen anderen Paketen – hier wurde der Nutzer „asdasdas“ erst vor einem Monat aktiv.
• Verdächtige Paketnamen, die populäre Tools imitieren, aber minimale Rechtschreibfehler oder Bindestrich-Varianten enthalten.
• Code, der Base64-Strings oder HTTP-Anfragen an unbekannte Server enthält – ein klares Zeichen für einen externen Payload.

Ein kurzer Blick in die package.json und den Installationsskript reicht oft aus. Wenn du unsicher bist, installiere das Paket in einer isolierten Umgebung oder nutze einen Sandbox-Ansatz.

Was solltest du jetzt tun?

Hast du eines der drei Pakete installiert? Dann entferne es sofort und führe einen vollständigen Virenscan mit aktualisierter Software durch. Überprüfe deine Systeme auf ungewöhnliche Prozesse oder Netzwerkverbindungen. Melde den Vorfall bei deinem Sicherheitsteam – und informiere auch das npm-Team über die Pakete, damit sie aus der Registry entfernt werden.

Zukünftig solltest du Abhängigkeiten regelmäßig mit Tools wie npm audit oder Diensten wie Snyk überprüfen. Kein Paket ist automatisch vertrauenswürdig – auch nicht von der offiziellen Registry. Hier findest du weitere Tipps zur npm-Sicherheit.