Kampagnenübersicht
Das Mimecast Threat Research-Team beobachtet seit Juli 2025 aktiv eine mehrstufige Angriffskampagne, die auf das npm-Ökosystem abzielt. Unsere Untersuchungen zeigen eine Entwicklung von Phishing-Angriffen zum Diebstahl von Zugangsdaten hin zu der am 14. September 2025 erfolgten Kompromittierung der Lieferkette von „ "“ durch Shai-Hulud". Durch die kontinuierliche Überwachung von Bedrohungen konnten wir zwei große Phishing-Kampagnen identifizieren, die unmittelbar vor den groß angelegten Kompromittierungen von npm-Paketen stattfanden.
Zeitachse der von Mimecast erfassten Kampagne
Juli 2025 – Kampagne zur Kontoverwaltung Die erste nachgewiesene, auf npm abzielende Phishing-Aktivität fand im Juli 2025 statt, wobei Social-Engineering-Köder wie „ "“ und „Kontoverwaltung“" eingesetzt wurden. Im Rahmen dieser Kampagnen wurden Entwickler auf Typosquatting-Domains weitergeleitet, die die legitime Infrastruktur von npm nachahmten, und dort wurden Paketbetreuer mit dringenden Benachrichtigungen zur Kontoverwaltung angesprochen.
- Verwendetes Argument: Anforderungen zur Kontoführung und -überprüfung
- Übertragungsweg: Phishing-E-Mails, die als offizielle Mitteilungen von npm getarnt sind
- Ziel: Das Ausspähen von Zugangsdaten mit dem Ziel, an hochkarätige Konten von Betreuern zu gelangen
- Infrastruktur: Typosquatting -Domains, darunter npnjs.com
Kampagne mit Sicherheitsupdates: Anfang September wurde eine Eskalation beobachtet, bei der eine ausgefeiltere Kampagne zum Einsatz kam, die sich die "-2FA-Sicherheitsupdate-" -Köder zunutze machte. Diese Kampagne zeigte ausgefeilte Tarntechniken und gezielte Botschaften, die speziell darauf ausgelegt waren, sicherheitsbewusste Entwickler auszunutzen.
- Verwendeter Köder: Obligatorische 2FA-Updates und Anforderungen zur Einhaltung von Sicherheitsvorschriften
- Übertragungsweg: Phishing-E-Mails, die als offizielle Mitteilungen von npm getarnt sind
- Ziel: Umfangreiches Sammeln von Zugangsdaten im Vorfeld der Einführung in die Lieferkette
14. September 2025 – Einsatz von „Shai-Hulud“ Der Höhepunkt dieser Operationen zum Sammeln von Anmeldedaten führte zum Einsatz des sich selbst replizierenden Wurms „ "“ Shai-Hulud". Unter Nutzung von Konten, die im Rahmen früherer Phishing-Kampagnen kompromittiert worden waren, setzten die Angreifer autonome Malware ein, die sich ohne weiteres menschliches Zutun im gesamten npm-Ökosystem verbreitete.
- Angriffsvektor: Kompromittierte Konten von Betreuern aus früheren Phishing-Kampagnen
- Nutzlast: Selbstreplizierender Wurm, der bösartige Skripte nach der Installation nutzt (bundle.js)
- Umfang: Zunächst 18 gezielte Pakete, die durch autonome Replikation auf über 180 erweitert werden
- Fähigkeiten: Diebstahl von Anmeldedaten aus verschiedenen Quellen (npm-Token, GitHub-Anmeldedaten, Geheimdaten von Cloud-Plattformen)
Mimecast-Schutz
Die fortschrittlichen Funktionen zur Erkennung von Bedrohungen von Mimecast haben diese Kampagnen mithilfe mehrerer Schutzebenen erfolgreich identifiziert und blockiert.
Ziele
Region und Branche: Globale Ausrichtung mit konzentrierten Auswirkungen auf Technologieunternehmen, die in hohem Maße von npm-Paketen abhängig sind, darunter Fintech-Unternehmen, Unternehmen im Bereich Gesundheitstechnologie sowie Entwickler von Unternehmenssoftware.
Die primäre Zielgruppe sind Softwareentwickler, die auf verschiedenen Plattformen tätig sind, wobei npm-Betreuer aufgrund ihres Zugangs zur Lieferkette besonders wertvolle Ziele darstellen. Zu den sekundären Zielgruppen zählen DevOps-Ingenieure, Sicherheitsexperten und Entwicklungsteams in Unternehmen, die kritische Infrastrukturabhängigkeiten verwalten.
Indikatoren für eine Kompromittierung (IOCs)
NPM-spezifische Infrastruktur
- npnjs.com (primäre Typosquatting-Domain)
- npm-security.com (sekundäre Phishing-Infrastruktur)
- npmjs.help (Seite zum Ausspähen von Zugangsdaten)
- npmjs-security.org (Seite zum Abgreifen von Anmeldedaten)
Empfehlungen
Sofortmaßnahmen:
- Informieren Sie die Nutzer über Bedrohungen im Zusammenhang mit npm, OAuth, SaaS-Plattformen und der Entwicklungsinfrastruktur, einschließlich konkreter Maßnahmen wie Kontoverwaltung, Sicherheitsupdates und Identitätsbetrug auf Plattformen
- Erstellen Sie Protokolle zur unabhängigen Überprüfung kritischer Kommunikationswege auf allen Entwicklungsplattformen
Threat Hunting:
