Auf den Punkt: Mindestens 17 gefälschte Zahlungs-SDKs in npm und PyPI stehlen entwicklungsbezogene Zugangsdaten wie API-Schlüssel und AWS-Anmeldedaten durch getarnte Pakete, die legitime Programmschnittstellen imitieren.
Die Sicherheitsfirma Socket hat eine koordinierte Kampagne mit mindestens 17 bösartigen Software-Paketen aufgedeckt, die als SDKs für Paysafe, Skrill und Neteller getarnt sind und in beiden Open-Source-Registern npm und PyPI verbreitet werden. Die Pakete zehlen Zugangsdaten, API-Schlüssel und AWS-Anmeldedaten aus Entwicklungsumgebungen und CI/CD-Pipelines.
Die gefälschten Pakete imitieren die legitimen Programmschnittstellen (APIs) vollständig und geben Entwicklungstools falsche Erfolgsmeldungen zurück, während im Hintergrund Datendiebstahl läuft. Bei oberflächlicher Code-Überprüfung fallen sie dadurch nicht auf. Statt tatsächliche Verbindungen zu den realen Zahlungsdienstleistern herzustellen, leiten die Bibliotheken Anfragen zu Command-and-Control-Servern weiter, die auf AWS-Infrastruktur gehostet sind.
Bei den 13 betroffenen npm-Paketen (Versionen 1.0.0 bis 1.0.3) aktiviert sich die Ausspähungsroutine erst beim aktiven Aufruf des SDK, wenn gleichzeitig ein gültiger Paysafe-API-Schlüssel in den Umgebungsvariablen hinterlegt ist. Die vier PyPI-Pakete aktivieren die Schadroutine hingegen unmittelbar bei der Initialisierung, ohne dass ein API-Schlüssel erforderlich ist. Die Angreifer haben einfache Schutzmechanismen eingebaut: Die Schadcode-Ausführung bricht ab, wenn das System weniger als zwei Prozessorkerne aufweist oder der Hostname beziehungsweise Benutzername auf eine virtuelle Maschine hinweist – dies soll automatisierte Sicherheitsanalysen in Sandboxes blockieren.
Die gestohlenen Daten umfassen Paysafe-API-Schlüssel, AWS-Anmeldedaten, GitHub-Token und npm-Veröffentlichungstoken. Betroffene Organisationen müssen alle kompromittierten Passwörter und Schlüssel umgehend austauschen. Socket und die Registrybetreiber empfehlen, die CI/CD-Protokolle gezielt nach der Kombination aus „PAYSAFE_API_KEY“ und den betroffenen Paketnamen zu durchsuchen sowie die Registry-Proxys für diese Pakete zu sperren.
Betroffene npm-Pakete: paysafe-checkout, paysafe-vault, neteller, skrill-payments, paysafe-js, paysafe-api, paysafe-node, paysafe-cards, paysafe-fraud, paysafe-kyc, skrill, skrill-sdk, paysafe-payments. Betroffene PyPI-Pakete: paysafe-kyc, paysafe-payments, paysafe-sdk, paysafe-api.
Quelle: www.it-daily.net · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.