NPM-Wurm stahl Zugangsdaten und verbreitete sich über legitime Sicherheitsprüfungen
Ein Angreifer kapierte das GitHub-Konto eines beliebten npm-Bibliotheksbetreuers und veröffentlichte infizierte Versionen, die rechtmäßige Sicherheitsnachweise erhielten.
Am Dienstag kapert ein Angreifer das GitHub-Konto des Betreuers von keyv, einer kleinen Schlüssel-Wert-Speicherbibliothek, die von npm etwa 127 Millionen Mal pro Woche genutzt wird. Innerhalb weniger Stunden wurden manipulierte Versionen von keyv und zugehörigen Caching-Paketen auf npm veröffentlicht, die einen auf Zugangsdaten spezialisierten Wurm enthielten. Das Sicherheitsunternehmen Aikido zählte mindestens 868 kompromittierte Pakete in 1.381 Versionen mit über zwei Milliarden monatlichen Installationen.
Das Besorgniserregende ist nicht die Download-Zahl, sondern die Art und Weise, wie die Infektion erfolgte. Die ersten manipulierten Veröffentlichungen trugen gültige Provenienz-Signaturen – kryptografische Nachweise für die Herkunft eines Pakets. Der Wurm hat diese Signatur nicht gefälscht, sondern auf legitime Weise erworben.
Dieser Vorfall spiegelt die Vorhersagen von CrowdStrike in einem kurz zuvor veröffentlichten Bericht wider, der die Entwicklung von Angriffen auf die Softwarelieferkette und deren Ziele im Entwickler-Ökosystem hervorhob. npm-Pakete wurden dabei als zentrales Risiko identifiziert. Der keyv-Wurm setzte diese Bedrohung innerhalb von 24 Stunden in die Realität um.
Für Sicherheitsexperten zeigt dieser Vorfall, dass Vertrauenssignale in der Softwarelieferkette durch Kontoübernahmen untergraben werden können. Das Zeitfenster zwischen der Entdeckung einer Schwachstelle und deren Ausnutzung hat sich dramatisch verkürzt und übersteigt die Kapazitäten herkömmlicher Patch-Zyklen.
Der Wurm erhielt seine legitime Signatur, da er über den GitHub Actions-Workflow des Betreuers veröffentlicht wurde, was eine automatische und gültige Signatur erzeugte. Einige Versionen nutzten diese Arbeitsabläufe weiter, um Tokens zu erhalten und zusätzliche Signatur-Pakete aus vertrauenswürdigen Kontexten zu erstellen. Der Wurm verbreitete sich dann über komplexe Abhängigkeiten in andere Pakete und betraf große Organisationen wie Deliveroo und Qlik, deren Entwickler die kompromittierte Bibliothek nicht direkt installiert hatten.