jscrambler 8.14.0 npm: Rust-Infostealer beim Installieren

Das npm-Paket jscrambler 8.14.0 wurde kompromittiert. Ein Preinstall-Hook schleust einen Rust-Infostealer ein. Socket entdeckte die Malware nach sechs M…

Was genau passiert ist

Am 11. Juli 2026 veröffentlichte jscrambler die Version 8.14.0 auf npm. Wer sie installierte, führte unwissentlich einen Infostealer aus. Der Schadcode lag als native Binärdatei in den Ordnern bin/ und wurde über einen preinstall-Hook gestartet – für Windows, macOS und Linux jeweils eine eigene Version.

Der Infostealer: Rust-basiert und effizient

Der Stealer ist in Rust geschrieben. Das macht ihn schwerer analysierbar und plattformunabhängig. Er sammelt Browser-Cookies, gespeicherte Passwörter und Kryptowallet-Daten. Die gestohlenen Informationen werden an einen entfernten Server gesendet. Ein Rust-Backend sorgt für hohe Geschwindigkeit und kleine Dateigröße – die Binaries waren alle unter 5 MB groß.

Socket reagiert in Rekordzeit

Das Sicherheitsteam von Socket entdeckte die Malware nur sechs Minuten nach der Veröffentlichung. Sie alarmierten sofort die npm-Administration. Wer das Paket bereits installiert hatte, musste sein System auf Kompromittierung prüfen. Die Version 8.14.0 wurde inzwischen von npm entfernt, doch die Gefahr ist nicht gebannt: Ähnliche Angriffe könnten jederzeit wieder auftreten.

Socket hat die Community gewarnt und rät, die Paket-Integrität vor der Installation zu prüfen. Nutzen Sie Tools wie npm audit oder Socket selbst. Achten Sie auf ungewöhnliche Script-Hooks in package.json.

Warum Sie sofort handeln sollten

Wenn Sie jscrambler 8.14.0 in den letzten Tagen installiert haben, trennen Sie Ihr Gerät vom Netzwerk. Ändern Sie alle Passwörter, insbesondere die Ihres E-Mail-Kontos und Ihrer Kryptobörsen. Prüfen Sie Ihre Browser-Erweiterungen auf verdächtige Aktivitäten. Der Stealer kann auch Sitzungstoken stehlen – loggen Sie sich aus allen aktiven Sitzungen aus.

Eine vollständige Systemwiederherstellung aus einem Backup vor dem 11. Juli 2026 ist die sicherste Option. Führen Sie einen Virenscan mit mehreren Engines durch, zum Beispiel mit Malwarebytes oder Kaspersky.

Lehren aus diesem Vorfall

Der Angriff zeigt, wie verwundbar die npm-Supply-Chain ist. Jeder, der Pakete veröffentlicht, kann potenziell kompromittiert werden. Sie sollten niemals blind npm install ausführen, ohne die Quelle zu prüfen. Verwenden Sie Lockfiles und überwachen Sie Änderungen an Abhängigkeiten. Mehr Tipps zur npm-Sicherheit finden Sie in unserem Blog.

Ein weiteres Problem: Das offizielle jscrambler-Team hat noch nicht erklärt, wie die Kompromittierung geschah. War es ein gehacktes Entwicklerkonto? Oder ein Insider-Angriff? Die Untersuchung läuft noch.

Socket Security hat angekündigt, seine Echtzeit-Überwachung zu verbessern. Sechs Minuten sind schnell, aber nicht schnell genug – in dieser Zeit können tausende Installationen stattfinden. Lesen Sie hier, wie Sie sich vor Supply-Chain-Angriffen schützen.

Hintergrund: jscrambler und seine Nutzer

jscrambler ist ein Tool zum Schutz von JavaScript-Code, das von vielen großen Unternehmen eingesetzt wird. Die Kompromittierung betrifft daher nicht nur Einzelentwickler, sondern auch Firmen. Der Schaden könnte enorm sein, wenn der Stealer in Unternehmensnetzwerke eindrang.

Die Version 8.14.0 wurde laut npm-Statistiken etwa 15.000 Mal heruntergeladen, bevor sie entfernt wurde. Wie viele dieser Installationen tatsächlich in Produktivsystemen landeten, ist unklar.