Malicious npm-Pakete tarnen sich als PostCSS-Tools und liefern Windows-RAT aus
JFrog Research hat drei bösartige npm-Pakete entdeckt (aes-decode-runner-pro, postcss-minify-selector, postcss-minify-selector-parser), die einen Windows-RAT installieren. Der Angriff nutzt Typosquatting auf postcss-selector-parser (127 Mio. Weekly Downloads).
JFrog Research hat drei bösartige npm-Pakete entdeckt, die sich als legitime PostCSS-Build-Tools tarnen. Die Pakete installieren einen mehrstufigen Windows-RAT, der Chrome-Credentials stiehlt und Shell-Befehle ausführt. Die Pakete stammen alle vom npm-User abdrizak und wurden in den letzten Wochen veröffentlicht. Sie sind weiterhin auf npm verfügbar.
Meldung und Einordnung
Am 24. Juni 2026 veröffentlichte The Hacker News einen detaillierten Bericht über die bösartigen npm-Pakete, der auf Forschungen von JFrog basiert. Die Kampagne ist Teil eines wachsenden Trends von Supply-Chain-Angriffen auf die npm-Infrastruktur. Besonders tückisch: Die Pakete tarnen sich als kleine, harmlos wirkende Build-Tools, die wie legitime PostCSS-Plugins aussehen.
Die drei entdeckten Pakete im Überblick:
| Paket | Downloads | Tarnung |
|---|---|---|
| aes-decode-runner-pro | ~145 | AES/Custom-Codec-Paket, abhängig von legitimen postcss-selector-parser |
| postcss-minify-selector | ~256 | PostCSS-Selector-Minifier |
| postcss-minify-selector-parser | ~615 | Typosquatting auf postcss-selector-parser (127 Mio. Weekly Downloads) |
Alle drei Pakete liefern identische Malware.
Technische Details für Admins
Die Angriffskette ist mehrstufig und hochkomplex. Der initiale JavaScript-Dropper schreibt ein PowerShell-Skript settings.ps1, das ein ZIP-Archiv von nvidiadriver.net via curl.exe herunterlädt. Das ZIP-Archiv enthält eine update.vbs (VBS), eine Python-Runtime, loader.py und kompilierte Nuitka-.pyd-Module.
Die .pyd-Module (Python Native Extensions) sind das Herzstück des RAT:
| Modul | Funktion |
|---|---|
| config.pyd | Konstanten, Command-IDs, C2-URL, Registry-Keys |
| api.pyd | HTTP-C2-Paketaustausch |
| audiodriver.pyd | Haupt-RAT-Orchestrierungs-Loop |
| command.pyd | Host-Profiling, VM-Checks, File-Transfer, Shell-Execution |
| auto.pyd | Chrome-Credential-Diebstahl, App-Bound-Encryption-Bypass |
| util.pyd | tar/gzip-Archiv-Helfer |
Der RAT kommuniziert mit dem C2-Server unter 95.216.92.207:8080 und verfügt über folgende Fähigkeiten: Host-Informationen sammeln, Google-Chrome-Credentials stehlen (inklusive App-Bound-Encryption-Bypass), Daten aus Chrome-Extensions extrahieren, Shell-Befehle ausführen und Dateien hoch- und herunterladen.
Risiko für KMU und Betrieb
Der Angriff zielt primär auf Entwickler und DevOps-Teams ab, die npm-Pakete in ihren Build-Prozessen verwenden. Ein kompromittierter Entwickler-Rechner kann als Sprungbrett für weitere Angriffe dienen, insbesondere wenn dort Zugangsdaten zu GitHub, Cloud-Diensten oder internen Systemen gespeichert sind.
Für KMU ist das Risiko besonders hoch, da sie oft über weniger ausgefeilte Dependency-Management-Prozesse verfügen als große Unternehmen. Ein einzelner Entwickler, der ein Typosquatting-Paket installiert, kann die gesamte Organisation gefährden.
JFrog warnt: Kleine Parser-ähnliche Pakete können mehrstufige Windows-Payloads verstecken, während sie wie legitime Build-Tools mit massiver Nutzung wirken. Verteidiger müssen Lookalike-Build-Abhängigkeiten als potenzielle Liefervektoren behandeln – nicht nur als harmloses Naming-Noise.
Was Admins jetzt prüfen sollten
- Pakete sofort entfernen: Prüfen Sie Ihre package-lock.json oder yarn.lock auf die genannten Pakete. Entfernen Sie sie mit npm uninstall.
- Alle Artefakte löschen: Suchen Sie nach settings.ps1, update.vbs, loader.py und .pyd-Dateien auf Entwickler-Rechnern.
- Credentials rotieren: Rotieren Sie insbesondere Chrome-Login-Daten, GitHub-Tokens, SSH-Keys und npm-Tokens auf betroffenen Maschinen.
- Entwickler-Maschinen scannen: Führen Sie einen vollständigen Scan auf persistente Backdoors durch.
- Build-Dependencies prüfen: Behandeln Sie Lookalike-Pakete als potenzielle Liefervektoren. Implementieren Sie einen Dependency-Review-Prozess.
- npm-Audit aktivieren: Nutzen Sie npm audit und npm fund, um verdächtige Pakete zu identifizieren. Erwägen Sie den Einsatz von Tools wie Socket.dev oder Snyk.
Betriebscheck nach der Meldung
- Habe ich meine package-lock.json auf die genannten Pakete geprüft?
- Sind alle Entwickler-Rechner auf Anzeichen einer Infektion gescannt?
- Wurden Credentials auf betroffenen Maschinen rotiert?
- Habe ich einen Dependency-Review-Prozess implementiert?
- Nutze ich npm audit oder ähnliche Tools regelmäßig?
Admin-Einschätzung
Die Kampagne zeigt, wie raffiniert Supply-Chain-Angriffe auf die npm-Infrastruktur geworden sind. Die Verwendung von Nuitka-kompilierten .pyd-Modulen ist besonders tückisch, da diese für herkömmliche Sicherheitsscanner schwer zu analysieren sind. Der App-Bound-Encryption-Bypass für Chrome-Credentials zeigt zudem, dass die Angreifer tiefgehende Kenntnisse der aktuellen Windows-Sicherheitsarchitektur haben.
Für Admins bedeutet dies: Die Überprüfung von Dependencies muss ein fester Bestandteil des Entwicklungsprozesses werden. Automatisierte Tools können helfen, ersetzen aber keine manuelle Prüfung bei kritischen Abhängigkeiten.
Passende Anleitungen auf S-EDV
- Supply-Chain-Security: So schützen Sie Ihre Software-Lieferkette – Strategien für sichere Software-Lieferketten.
- GitHub Actions Sicherheit: Leitfaden für sichere CI/CD-Pipelines – Grundlagen für sichere Workflow-Konfigurationen.
