Größter npm-Hack der Geschichte bleibt finanziell überschaubar

Ein massiver Angriff auf JavaScript-Bibliotheken, der zu erheblichem Alarm in der Cybersecurity-Community geführt hatte, scheint finanziell glimpflich ausgegangen zu sein. Laut den neuesten Daten von Arkham Intelligence konnten die Hacker lediglich 1.043 Dollar in Kryptowährungen erbeuten.

Forscherinnen und Forscher von Wiz berichteten gestern über eine weitreichende Attacke auf die Software-Lieferkette. Dabei gelang es den Angreifern durch ausgeklügelte soziale Manipulation, die Kontrolle über einen GitHub-Account von Qix (Josh Junon) zu erlangen. Junon ist bekannt für seine beliebten JavaScript-Pakete. Die Hacker fügten den Updates dieser Pakete schädlichen Code hinzu, der API- und Krypto-Wallet-Schnittstellen aktivierte und Kryptowährungstransaktionen manipulierte. Bedenklich ist, dass 10% der Cloud-Umgebungen von schädlichem Code betroffen sind, obwohl nicht alle infizierte Updates heruntergeladen haben.

Trotz der potenziell großen Reichweite des Angriffs erhielten die digitalen Geldbörsen der Täter bisher lediglich eine relativ geringe Summe, die hauptsächlich aus ERC-20-Token-Transaktionen bestand. Alarmierend ist auch die jüngste Meldung von JFrog Security, dass das DuckDB SQL-Datenbanksystem ebenfalls kompromittiert wurde. Dieser Vorfall wurde als der größte npm-Angriff der Geschichte bezeichnet und wirft Fragen zur Sicherheit in der Software-Lieferkette auf. Solche Angriffe nehmen zu, da sie riesige Reichweiten durch gezielte Kompromittierung einzelner Pakete ermöglichen.

Beispiele aus der jüngeren Vergangenheit zeigen ähnliche Vorfälle, darunter ein Angriff auf Ethereum's ETHcode-Erweiterung im Juli. Die schnelle Erkennung der Bedrohung führte dazu, dass der finanzielle Schaden begrenzt blieb. Dennoch bleibt das Risiko bestehen, dass künftig mehr solcher Vorfälle auftreten. Entwickler und Organisationen sind daher aufgerufen, ihre Lieferketten intensiver zu überwachen und anomales Verhalten in Paketen schneller zu erkennen.