NPM-Pakete aus Nordkorea stehlen Entwickler-Geheimnisse

Neue npm-Pakete aus Nordkorea tarnen sich als Rollup-Polyfills und stehlen sensible Entwicklerdaten. Erfahren Sie, wie Sie sich schützen können.

Die getarnten Angreifer

Sicherheitsforscher von JFrog haben zwei bösartige npm-Pakete entdeckt: „rollup-packages-polyfill-core“ und „rollup-runtime-polyfill-core“. Sie imitieren das legitime Projekt „rollup-plugin-polyfill-node“ bis ins Detail – inklusive Beschreibung und Repository-Metadaten.

Doch der Inhalt ist eine andere Geschichte. Die Pakete enthalten einen Base64-codierten PowerShell-Befehl, der bei der Installation ausgeführt wird. Das Ziel: Fernzugriff und Datendiebstahl.

Wie der Angriff funktioniert

Sobald Sie eines dieser Pakete installieren, wird ein Skript aktiv, das eine Verbindung zu einem externen Server herstellt. Der Server gibt dann weitere Befehle – von einfacher Datenerfassung bis zur vollständigen Übernahme des Systems. Besonders perfide: Die Pakete nutzen legitime Tools wie PowerShell, um Alarm zu vermeiden.

Die Verbindung zu Nordkorea? Die Forscher führen die Angriffe auf die Gruppe „Lazarus“ zurück, bekannt für ihre Spionageaktivitäten.

Warum Sie jetzt handeln sollten

Dies ist kein isolierter Vorfall. Die Angreifer zielen auf die Lieferkette – genau dort, wo Entwickler vertrauen. Wenn Sie Rollup-Polyfills in Ihrem Projekt verwenden, prüfen Sie sofort Ihre package.json. Ein einziger falscher Eintrag kann Ihr ganzes System gefährden.

Die Daten sprechen eine klare Sprache: JFrog zählt über 1.000 Downloads der schädlichen Pakete. Jeder Download ein potenzielles Einfallstor.

So schützen Sie sich

Überprüfen Sie Ihre Abhängigkeiten regelmäßig mit Sicherheits-Scannern wie npm audit oder Snyk. Achten Sie auf ungewöhnliche Skripte in der package.json. Und: Installieren Sie nur Pakete, die Sie genau kennen.

Ein Tipp: Vergleichen Sie den Hash der heruntergeladenen Datei mit dem offiziellen Repository. Kleine Abweichungen können große Folgen haben.

Die größere Gefahr

Diese Angriffe zeigen, wie verletzlich die Open-Source-Infrastruktur ist. Ein einziges schädliches Paket kann tausende Entwickler treffen. Die Täter aus Nordkairo nutzen genau diese Schwachstelle.

Sie können die Risiken minimieren, indem Sie auf vertrauenswürdige Quellen setzen und Ihre Build-Prozesse isolieren. Denken Sie daran: Im Zweifel lieber ein bekanntes Paket updaten als ein neues installieren.

Bleiben Sie wachsam – Ihre Geheimnisse sind es wert.