Auf den Punkt: IronWorm nutzt ein Rust-basiertes eBPF-Rootkit, um Entwickler-Zugangsdaten (OpenAI-, Anthropic-APIs, AWS-Zertifikate, npm-Tokens, SSH-Schlüssel) zu stehlen und sich eigenständig über npm-Konten weiter zu verbreiten.
Die Sicherheitsforscher von JFrog haben eine Lieferketten-Kampagne gegen das npm-Ökosystem aufgedeckt: 36 infizierte Pakete verbreiteten die Malware IronWorm, die Zugangsdaten aus Entwicklungsumgebungen stiehlt und Entdeckung durch ein eBPF-Kernel-Rootkit erschwert.
JFrog entdeckte insgesamt 36 legitimierte npm-Pakete, die mit der Malware IronWorm infiziert waren. Das Schadprogramm wurde in Rust geschrieben und nutzt ein eBPF-Kernel-Rootkit, um Entdeckungsmechanismen auf Betriebssystemebene zu umgehen. Die gestohlenen Daten werden über das Tor-Netzwerk an die Angreifer weitergeleitet. Die Kampagne ging vom kompromittierten npm-Benutzerkonto asteroiddao aus, das bösartigen Code über Preinstall-Skripte in die Pakete einschleuste.
Das Schadprogramm wurde gezielt für die Datenexfiltration ausgelegt. Die Malware durchsucht infizierte Systeme nach 86 spezifischen Umgebungsvariablen und 20 Berechtigungsdateien. Darunter fallen API-Zugangsdaten für OpenAI und Anthropic, AWS-Cloud-Zertifikate, interne npm-Authentifizierungstoken, HashiCorp-Vault-Konfigurationen, SSH-Schlüssel und Exodus-Wallet-Dateien. Zur Verschleierung manipulierten die Angreifer die Commit-Autorenamen auf „claude“ und backdatierten Zeitstempel um bis zu 13 Jahre, obwohl die infizierte Versionen erst kürzlich übertragen wurden.
Ein zentrales Merkmal ist die automatisierte Weiterverbreitung. Sobald IronWorm auf Zugangsdaten oder automatisierte Trusted-Publishing-Verfahren zugriff, nutzte es diese Rechte, um eigenständig archivierte Versionen verwalteter npm-Pakete hochzuladen. JFrog stellte identische Code-Änderungsbezeichnungen mit der bekannten Malware-Familie Shai Hulud fest, die der Hackergruppe TeamPCP zugeordnet wird, und stuft IronWorm als „maßgeschneidertes, sorgfältig aufgebautes Implantat aus einer Operation mit eigener Infrastruktur“ ein.
Der Code enthielt zudem eine Datenexfiltrationsmethode für zukünftige Angriffe: Die Malware serialisiert gestohlene Zugangsdaten und tarnt sie als harmlose Lint- oder Formatierungsausgabe, lädt diese Dateien dann als Build-Artefakte direkt in GitHub Actions des Projekts, ohne externe Kontrollserver zu benötigen. In der aktuellen Kampagne wurde diese Methode noch nicht aktiv eingesetzt. Analysten stellten fest, dass die Entwickler der Malware ihre eigene Kryptowährung-Wallet-Seed-Phrase fest im Code hinterlegt hatten, vermutlich um zu verhindern, dass die Schadsoftware sich während der Testphase selbst bestiehlt.
Ox Security berichtet, dass der Angriff in einem sehr frühen Stadium erkannt und gefiltert wurde, bevor eine Ausbreitung auf populäre Pakete mit hoher Reichweite stattfinden konnte.
Quelle: www.it-daily.net · Erschienen 16. Juni 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.1.