Wie der Sicherheitsforscher Kirill Boychenko von Socket erläutert, liest das Paket beim Instanziieren des SicoobClient mit Client-ID, Pfad zur PFX-Datei und PFX-Passwort die PFX-Datei von der Festplatte, kodiert ihren Inhalt in Base64 und sendet Client-ID, PFX-Passwort und die kodierten Zertifikatsdaten an einen fest einprogrammierten, fremden Sentry-Endpunkt. Über einen separaten Sentry-Pfad fängt das Paket zudem rohe Antworten der Boleto-API ab. Boleto ist in Brasilien eine verbreitete Zahlungsmethode für Online- und Offline-Einkäufe; auf diesem Weg können Transaktionsdetails, Zahlungsstatus, Beträge, Fälligkeitsdaten, Kennungen sowie Daten von Zahlern und Empfängern offengelegt werden.
Laut Socket eröffnen die gestohlenen Daten erhebliche Risiken, da ein Angreifer damit die Sicoob-Banking-API-Integration des Opfers nachahmen kann. Das Profil hinter dem Paket mit dem Namen „sicoob" hat 11 weitere NuGet-Pakete veröffentlicht, die zusammen rund 6.000 Downloads erreichten.
Ein weiterer Aspekt ist die Abweichung zwischen dem verlinkten GitHub-Repository und dem über NuGet verteilten Artefakt. Vermutlich soll das saubere Repository der Operation einen Anstrich von Seriosität verleihen, während die schädliche Funktion erst im hochgeladenen Paket eingeführt wird. Die Kompromittierung des Sicoob-Authentifizierungsmaterials kann auch Endnutzer indirekt gefährden, etwa durch abgeflossene Finanzdaten oder Zahlungsmissbrauch.
Organisationen, die „Sicoob.Sdk" installiert haben, sollten das Paket umgehend entfernen, das PFX-Material als kompromittiert behandeln, betroffene Zertifikate ersetzen, PFX-Passwörter wechseln und betroffene Client-IDs ändern oder deaktivieren. Empfohlen wird zudem, die Sicoob-Authentifizierungs- und API-Protokolle auf Auffälligkeiten zu prüfen.
Zeitgleich wurden 14 schädliche npm-Pakete entdeckt, die bekannte Bibliotheken rund um OpenSearch, ElasticSearch, DevOps und Umgebungskonfiguration per Typosquatting nachahmen. Über einen eigens entwickelten Sammler, der in einem preinstall-Hook startet, greifen sie AWS-Zugangsdaten, HashiCorp-Vault-Token, npm-Token und Geheimnisse aus CI/CD-Pipelines ab. Laut dem Microsoft Defender Security Research Team stammen die Pakete von einem einzelnen Akteur namens „vpmdhaj".
In einem aktuellen Bericht stellt Sonatype fest, dass Angreifer das klassische Typosquatting hinter sich gelassen haben und Namen verwenden, die in legitimen Entwickler-Workflows überzeugend wirken. Zu den verbreiteten Techniken zählen das Anfügen von Präfixen oder Suffixen, Dependency Confusion, Versionsnachahmung, eingebettete Zielbegriffe sowie veränderte Geltungsbereiche oder Namensräume. „Typosquatting" sei inzwischen ein zu enger Begriff, so das Unternehmen; das breitere Muster sei eine „hergestellte Legitimität", bei der Angreifer Paketnamen gezielt plausibel und im Arbeitsalltag unauffällig gestalten.
Diese Vorfälle reihen sich in eine Serie von Lieferketten-Kompromittierungen ein, die mit der Gruppe TeamPCP (auch Replicating Marauder und UNC6780) in Verbindung gebracht werden. Sie verseucht populäre Entwicklerwerkzeuge über npm, PyPI, Docker Hub und Packagist wurmartig. Laut BlueVoyant-Forscher Michael Warren habe Replicating Marauder nicht nur Schadcode in Pakete eingeschleust, sondern auch Automatisierung, ererbtes Vertrauen und gewöhnliche CI/CD-Workflows ausgenutzt, um die Kompromittierung weiter stromabwärts zu treiben – und so aus isolierter Paketvergiftung eine reproduzierbare Methode zur Ausbreitung von Opfer zu Opfer gemacht.