Die Analyse von Sicherheitsunternehmen wie Socket, StepSecurity und Aikido Security offenbart eine ausgefeilte und automatisierte Attacke. Die kompromittierten Pakete wurden in rapider Abfolge veröffentlicht – viele Versionen entstanden nur Sekunden auseinander. Dies deutet stark darauf hin, dass der Angreifer nicht nur einzelne Pakete manipulierte, sondern Zugriff auf die zentrale Release-Infrastruktur der Laravel-Lang-Organisation hatte.
Das technische Gerüst der Attacke ist bemerkenswert präzise. Der bösartige Code befindet sich in der Datei “src/helpers.php”, die direkt in der composer.json unter dem Abschnitt “autoload.files” registriert ist. Da jede PHP-Anwendung beim Start automatisch vendor/autoload.php lädt – unabhängig davon, ob sie Laravel, Symfony, PHPUnit oder ein anderes Framework nutzt – wird der Payload ausgeführt, bevor die Anwendung ihre Geschäftslogik startet. Kein expliziter Funktionsaufruf ist nötig.
Um Erkennung zu vermeiden, generiert das Schadprogramm einen eindeutigen Hash pro System basierend auf dem Verzeichnispfad, der Systemarchitektur und dem Inode. Dies stellt sicher, dass sich die Malware nur einmal pro Maschine aktiviert und bei wiederholten Neustarts verborgen bleibt.
Die eigentliche Stealer-Komponente ist ein etwa 5.900 Zeilen langer PHP-Code mit 15 spezialisierten Datensammler-Modulen. Das Skript ist in der Lage, eine breite Palette sensibler Daten zu exfiltrieren: SSH-Schlüssel, Datenbank-Anmeldedaten, API-Token, Browser-Cookies, Wallet-Daten und weitere persönliche Informationen. Nach der Datensammlung werden alle Ergebnisse mit AES-256 verschlüsselt und an flipboxstudio[.]info/exfil übertragen. Anschließend löscht sich die Malware selbst vom System, um forensische Spuren zu minimieren.
Unter Windows wird ein Visual-Basic-Script-Launcher über cscript ausgeführt, während auf Linux und macOS die Payload direkt mittels exec() lädt. Diesen Cross-Platform-Ansatz zeigt eine hohe Raffinesse des Angreifers.
Für deutsche Entwickler und Unternehmen ist rasches Handeln erforderlich: Alle Dependencies sollten überprüft werden, und betroffene Systeme müssen isoliert sowie auf Kompromittierung untersucht werden. Das BSI empfiehlt, solche Vorfälle zu dokumentieren und unter Umständen der Meldepflicht nachzukommen.