Lazarus vergiftet Open-Source-Pakete in npm und PyPI : Gefälschte Recruiting-Kampagne schleust Schadcode über Entwicklerabhängigkeiten ein

Nach der Installation fungieren die Pakete als Transportmechanismus für einen Remote-Access-Trojaner. Dieser sammelt Systeminformationen, listet Dateien und Prozesse auf, erstellt oder löscht Verzeichnisse und ermöglicht Dateiübertragungen. Die Steuerkommunikation nutzt ein tokenbasiertes Verfahren: Erst nach Registrierung eines infizierten Systems akzeptiert der Kontrollserver weitere Befehle.

Ein ähnlicher Ansatz wurde bereits 2023 bei Kampagnen der nordkoreanischen Gruppe Jade Sleet beobachtet. „Der tokenbasierte Ansatz ist in beiden Fällen ähnlich und wurde unseres Wissens von keinen anderen Akteuren in öffentlichen Paket-Repositorien eingesetzt“, betonte Zanki.

Zusätzlich prüft die Schadsoftware, ob die Browser-Erweiterung MetaMask installiert ist – ein klarer Hinweis auf finanziell motivierte Angriffe im Kryptoumfeld.

Staatlich gesteuerte Langzeitoperation

Die Gesamtstruktur der Kampagne deutet auf erhebliche Ressourcen und strategische Planung hin. Laut ReversingLabs sprechen Modularität, langfristiger Vertrauensaufbau und mehrschichtige Verschlüsselung eindeutig für staatliche Unterstützung. „Die Fakten zeigen klar eine hochentwickelte Kampagne“, so die Forscher.

Damit wird erneut deutlich, warum Open-Source-Ökosysteme für geopolitisch motivierte Akteure aus Nordkorea und anderen Ländern so attraktiv sind: Ein einzelnes manipuliertes Paket kann sich wie ein Multiplikator auswirken. Statt ein Unternehmen direkt anzugreifen, treffen Angreifer die Lieferkette und erreichen über Entwickler, Build-Server und kontinuierliche Integrationspipelines potenziell zahlreiche Organisationen gleichzeitig. Besonders gefährlich ist dabei der Vertrauensvorschuss: Paketnamen wirken plausibel, Projekte erscheinen seriös, und eine zunächst harmlose Version kann Reputation und Downloads aufbauen, bevor später Schadcode nachgeladen wird.

Für Unternehmen ergibt sich daraus ein klarer Handlungsdruck. Zentrale Maßnahmen zur Absicherung der Software-Lieferkette sind:

• Abhängigkeiten konsequent prüfen: Herkunft, Pflegezustand, Update-Historie und Risiko im Verhältnis zur Kritikalität der Anwendung bewerten
• Integritätskontrollen etablieren: verifizierte Artefakte, reproduzierbare Builds und kontinuierliche Prüfungen in jeder Stufe der Pipeline einsetzen
• Sichere Entwicklungsprozesse verankern: technische Schutzmaßnahmen mit klaren Freigabe- und Prüfwegen verbinden
• Updates kontrolliert übernehmen: Versionssprünge analysieren, verdächtige Namensähnlichkeiten erkennen und neue Abhängigkeiten erst nach nachvollziehbarer Bewertung zulassen

So wird Sicherheit in der Software-Lieferkette zur unverzichtbaren Grundlage moderner Softwareentwicklung.

Weitere schädliche npm-Pakete entdeckt

Die aktuelle Enthüllung folgt auf neue Erkenntnisse von JFrog zu einem ausgefeilten, bösartigen npm-Paket namens „duer-js“, das von einem Nutzer mit dem Namen „luizaearlyx“ veröffentlicht wurde. Die Bibliothek gibt sich als Werkzeug aus, das angeblich „das Konsolenfenster besser sichtbar macht“, enthält jedoch tatsächlich den Windows-Informationsdieb Bada Stealer.

Die Schadsoftware kann Discord-Tokens, Passwörter, Cookies sowie Autofill-Daten aus Google Chrome, Microsoft Edge, Brave, Opera und Yandex Browser auslesen, außerdem Details zu Kryptowallets und Systeminformationen erfassen. Die gesammelten Daten werden anschließend an einen Discord-Webhook übertragen und zusätzlich über den Dateispeicherdienst Gofile exfiltriert.

„Neben dem Diebstahl von Informationen aus dem infizierten System lädt das schädliche Paket eine zweite Nutzlast nach“, erklärt Sicherheitsforscher Guy Korolevski. „Diese ist darauf ausgelegt, beim Start der Discord-Desktop-Anwendung ausgeführt zu werden, aktualisiert sich selbstständig und stiehlt direkt daraus weitere Daten, einschließlich der vom Nutzer verwendeten Zahlungsmethoden.“

Parallel dazu wurde eine weitere Malware-Kampagne entdeckt, die npm missbraucht, um Entwickler bereits während der Paketinstallation über den Befehl „npm install“ zur Zahlung von Kryptowährungen zu erpressen. Diese erstmals am 4. Februar 2026 beobachtete Angriffswelle wird von OpenSourceMalware als „XPACK ATTACK“ bezeichnet.

Die Namen der Pakete, die alle von einem Nutzer mit dem Namen „dev.chandra_bose“ hochgeladen wurden, lauten:

• xpack-per-user
• xpack-per-device
• xpack-sui
• xpack-subscription
• xpack-arc-gateway
• xpack-video-submission
• test-npm-style
• xpack-subscription-test
• testing-package-xdsfdsfsc

„Im Gegensatz zu klassischer Malware, die Zugangsdaten stiehlt oder Reverse Shells ausführt, missbraucht dieser Angriff auf innovative Weise den HTTP-Statuscode 402 ‚Payment Required‘, um eine scheinbar legitime Bezahlschranke zu erzeugen“, so Sicherheitsexperte Paul McCarty. „Die Installation wird blockiert, bis Opfer 0,1 USDC oder ETH an die Wallet des Angreifers zahlen, während gleichzeitig GitHub-Benutzernamen und Geräte-Fingerabdrücke gesammelt werden.“

„Wenn Betroffene die Zahlung verweigern, bricht die Installation nach etwa fünf Minuten einfach ab – und es sieht aus wie sinnlos verschwendete Entwicklungszeit. Tatsächlich merken sie oft nicht, dass hier in Wirklichkeit eine Malware aktiv war und nicht eine echte Paywall für den Zugriff auf das Paket.“