Auf den Punkt: 148 npm-Pakete wurden als Student-Proxies missbraucht, um Browser-Besucher für DDoS-Anschläge einzuspannen, ohne dass Entwickler als primäre Ziele angegriffen wurden.
Forscher von JFrog haben 148 manipulierte npm-Pakete entdeckt, die als Web-Proxies für Studenten ausgegeben wurden und Besucher-Browser etwa zwei Wochen lang im Mai in ein Distributed-Denial-of-Service-Botnetz verwandelten.
Die Kampagne zielte nicht primär auf Entwickler ab, die die Pakete installieren würden. Stattdessen nutzten die Angreifer die npm-Registry als kostenlose Hosting-Infrastruktur für eine präparierte Proxy-Website und richteten sich an Schüler, die diese zur Umgehung von Schulnetzwerk-Sperren verwendeten.
Für CTOs bedeutet dieser Fund ein doppeltes Sicherheitsrisiko: Zum einen zeigt sich erneut die Anfälligkeit zentraler Package-Repositories gegenüber Supply-Chain-Angriffen. Zum anderen offenbaren sich Browser-basierte Botnetz-Architekturen als praktisch umsetzbar, ohne dass der Endnutzer technische Kenntnisse besitzt – ein Vektors, der durch populäre akademische Proxies leicht skalierbar ist.
JFrog hat die Pakete der npm-Registry gemeldet und diese wurden entfernt. Die Langzeitfolgen sind noch unklar: Ob die über zwei Wochen generierten DDoS-Traffic-Volumina nachverfolgbar sind, welche Ziele attackiert wurden und ob böswillige Akteure diese Infrastruktur für weitere Kampagnen wiederverwenden, bedarf weiterer Untersuchung.
Für Organisationen empfiehlt sich eine genaue Überprüfung von Abhängigkeiten in npm-Projekten sowie die Implementierung von Software Composition Analysis (SCA)-Tools, um ähnliche verdächtige Pakete frühzeitig zu erkennen.
Quelle: thehackernews.com · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.