Die entdeckte Malware operiert mit bemerkenswert sophistizierten Techniken. Im Gegensatz zu typischen npm-Angriffen nutzt sie keine Standard-Lifecycle-Hooks wie preinstall oder postinstall-Skripte. Stattdessen wird ein bösartiges Code-Fragment als sogenannte Immediately Invoked Function Expression (IIFE) direkt an die Datei “node-ipc.cjs” angehängt. Dies triggert die Malware automatisch bei jedem Laden des Pakets durch den Befehl require(’node-ipc’).
Besonders beachtlich ist ein Sicherheitsmechanismus des Angreifers: Die Version 12.0.1 führt zunächst eine SHA-256-Fingerprint-Kontrolle durch und vergleicht diese mit einem hart codierten Hash. Dies deutet darauf hin, dass der Angreifer einzelne Ziele im Voraus berechnet und präzise adressiert hat. Die älteren 9.x-Versionen hingegen führen die volle Malware-Routine auf jedem System aus, das sie lädt.
Die Datenexfiltration erfolgt über zwei Kanäle: Primär werden die komprimierten Daten per HTTPS-POST an die gefälschte Azure-Domain “sh.azurestaticprovider[.]net” übertragen. Zusätzlich nutzt die Malware DNS-TXT-Records zur Datenübertragung, nachdem sie den System-DNS-Resolver auf Google Public DNS (1.1.1.1 und 8.8.8.8) umgeleitet hat. Diese Technik umgeht lokale DNS-basierte Sicherheitskontrollen und hinterlässt keine Spuren in öffentlichen DNS-Logs – ein gezieltes Anti-Detection-Manöver.
Die Account-Übernahme von “atiertant” erfolgte nach einer 21-monatigen Pause seit der letzten legitimen Aktualisierung im August 2024. Das deutet entweder auf eine Credential-Kompromittierung oder eine absichtliche Hinzufügung als Maintainer hin.
Deutsche Entwickler und IT-Leiter sollten unverzüglich folgende Schritte einleiten: Die drei infizierten Versionen müssen deinstalliert und durch die sauberen Versionen 9.2.1 oder 12.0.0 ersetzt werden. Alle Credentials, SSH-Schlüssel und Cloud-Token, die auf betroffenen Systemen aktiv waren, müssen sofort rotiert werden. Zudem sollten npm-Publish-Aktivitäten überprüft und Cloud-IAM-Logs auf verdächtige Zugriffe analysiert werden. Der Egress-Traffic zur genannten C2-Domain muss blockiert werden. Unternehmen, bei denen personenbezogene oder geschäftskritische Daten offengelegt wurden, müssen die Meldepflicht nach DSGVO beachten.