Auf den Punkt: Angreifer exploitieren Cross-Ecosystem-Lücke, indem sie package.json-Lifecycle-Hooks missbrauchen, die Entwickler bei der Analyse von PHP-Abhängigkeiten übersehen.
Acht Composer-Pakete auf Packagist wurden durch einen koordinierten Angriff mit Schadcode infiziert, der ein Linux-Binary von GitHub herunterlädt. Die Besonderheit: Der Malware-Code wurde nicht in composer.json, sondern in package.json eingebettet und zielt damit auf JavaScript-Build-Tools ab, die zusammen mit PHP-Code ausgeliefert werden.
Bei der Analyse durch Socket wurden acht Packagist-Pakete identifiziert, die Schadcode in ihren package.json-Dateien enthielten. Die betroffenen Pakete sind: moritz-sauer-13/silverstripe-cms-theme (dev-master), crosiersource/crosierlib-base (dev-master), devdojo/wave (dev-main), devdojo/genesis (dev-main), katanaui/katana (dev-main), elitedevsquad/sidecar-laravel (3.x-dev), r2luna/brain (dev-main) und baskarcm/tzi-chat-ui (dev-main). Die manipulierten Versionen wurden inzwischen aus Packagist entfernt.
Das Angriffsmuster funktioniert über postinstall-Skripte in package.json: Der Code versucht, ein Linux-Binary von einer GitHub-Releases-URL (github[.]com/parikhpreyash4/systemd-network-helper-aa5c751f) herunterzuladen, es im Ordner /tmp/.sshd zu speichern, Ausführungsrechte per chmod für alle Benutzer zu setzen und das Binary im Hintergrund auszuführen. Socket hat diesen Payload in 777 Dateien auf GitHub gefunden, deutet auf eine breitere Kampagne hin. In mindestens zwei Fällen wurde der Code auch in GitHub-Workflows integriert, was darauf hindeutet, dass die Angreifer mehrere Ausführungsmechanismen parallel einsetzten.
Die Art der geladenen Malware bleibt ungeklärt, da das GitHub-Konto, das das Repository hostete, nicht mehr verfügbar ist. Der Malware-Name „gvfsd-network“ ist bemerkenswert, da er auf einen GNOME-Virtual-File-System-Daemon (GVfs) anspielt, der für die Verwaltung von Netzwerkfreigaben zuständig ist. Dies könnte ein Deckmantel-Ansatz sein, um die bösartige Aktivität zu verschleiern.
Die Erkennbarkeit für Entwicklerteams ist begrenzt: Sicherheitsteams, die PHP-Abhängigkeiten scannen, konzentrieren sich typischerweise auf Composer-Metadaten und übersehen dabei package.json-Lifecycle-Hooks innerhalb derselben Pakete. Allein der Installer ist bereits kritisch genug, um blockiert zu werden, da er Remote-Code-Execution während Installation oder Build-Workflows ermöglicht, TLS-Verifikation deaktiviert, Fehler unterdrückt und ein heruntergeladenes Binary im Hintergrund ausführt.
Quelle: ainews.lumi-systems.io · Erschienen 23. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.5.2.