„Auch wenn die Schadsoftware nur eine einzelne HTML-Seite im npm-Paket ist und das Herunterladen keinen Schaden anrichtet, geht es dem Angreifer nicht darum, Entwickler zu infizieren, die das Paket installieren, sondern darum, die Registry und ihre Spiegel als sicheren, geprüften Speicherort für die Schadsoftware zu nutzen", erklärt OX Security.
BleepingComputer untersuchte eines der Pakete aus der Kampagne und fand darin lediglich zwei Dateien: eine index.html sowie eine package.json, die die HTML-Datei als Hauptdatei des Pakets deklariert. Spiegelt UNPKG das Paket, lässt sich die HTML-Datei direkt im Browser öffnen — über eine Adresse der Form https://unpkg[.]com/ndmxchdjxn2@1.0.0/index[.]html. Der Inhalt wird dann von der legitimen Domain unpkg.com gerendert und nicht von Infrastruktur der Täter.
OX spricht davon, dass diese Technik npm-Spiegel in „kostenlose Frontend-Hosts für bösartige HTML-Seiten und potenziell auch weitere Schadlasten" verwandelt.
Die Seite imitiert eine Cloudflare-Sicherheitsprüfung und bindet dabei den echten Turnstile-CAPTCHA-Dienst von Cloudflare ein. Unabhängig davon, ob die Prüfung erfolgreich ist, führt die Seite stark verschleiertes JavaScript aus, das den Besucher auf eine andere Website weiterleitet.
Moshe Siman Tov Bustan, Leiter des Forschungsteams von OX Security, sagte BleepingComputer, frühere Varianten hätten im Juli auf microcloud[.]homes und im August auf login[.]microsofte[.]live umgeleitet. Einige der frühesten Juli-Weiterleitungen endeten den Forschern zufolge letztlich beim legitimen Microsoft-Outlook-Login (https://outlook.office.com/mail). BleepingComputer testete eine der über UNPKG gehosteten Seiten und bestätigte, dass sie weiterhin auf diese Domain weiterleitet. Die Domain ist derzeit nicht erreichbar, könnte aber für eine gefälschte Microsoft-Anmeldeseite genutzt werden.
Bei anderen Paketen wechselten die Angreifer auf ein flexibleres Verfahren: Der neuere Code ruft einen verschlüsselten Wert von api.keyval.org ab, einer legitimen Plattform zum Speichern von Schlüssel-Wert-Paaren, entschlüsselt ihn im Browser und leitet dann auf die entschlüsselte Adresse weiter. So lässt sich das Ziel aus der Ferne ändern, ohne das npm-Paket anzupassen oder neu zu veröffentlichen. Zum Zeitpunkt der Untersuchung führte das fernkonfigurierte Ziel auf die legitime ChatGPT-Website.
OX weist darauf hin, dass der Wert jederzeit auf ClickFix- oder andere Phishing-Seiten zeigen könnte; die von BleepingComputer geprüfte, über npm gehostete HTML-Seite führt jedoch keinen ClickFix-Angriff durch. Denkbar sind ebenso Weiterleitungen auf Malware-Downloads oder sonstige angreiferkontrollierte Ziele.
Zusätzlich warnt OX, dass npm-Pakete auf Spiegeln bestehen bleiben können, nachdem sie aus der offiziellen npm-Registry entfernt wurden. „Bedrohungsakteure finden und nutzen immer wieder neue und ungewöhnliche Techniken — nicht nur, um Schadsoftware auszuliefern, sondern auch, um legitime Infrastruktur zum Speichern ihrer Schadlasten und Daten zu verwenden", so das Fazit von OX. Die Forscher empfehlen, direkte HTML-Anfragen an npm-Spiegel-Domains als potenziell verdächtig zu behandeln.