Ist ein präpariertes Paket installiert, durchsucht die nachgeladene Schadkomponente die Entwicklungsumgebung nach E-Mail-Adressen, sammelt Informationen über die CI/CD-Umgebung und erstellt einen Systemfingerabdruck einschließlich der öffentlichen IP-Adresse. Die Ergebnisse gehen an einen vom Angreifer kontrollierten Server.
Darüber hinaus erfasst PhantomRaven Laufzeitdetails, das aktuelle Datum samt Uhrzeit, Benutzernamen und E-Mail-Adressen aus Git- und npm-Konfigurationen sowie CI/CD-Umgebungsvariablen von GitHub Actions, GitLab CI, Jenkins und CircleCI.
Bemerkenswert ist das offenbar ungewöhnliche Geschäftsmodell des Betreibers. CrowdStrike hat nach eigenen Angaben keine der gestohlenen Informationen in einschlägigen Stealer-Log-Shops gesehen. Das deute darauf hin, dass “der Betreiber den Infostealer vermutlich ausschließlich nutzt, um Gelegenheiten für Bug Bounties zu identifizieren”.
Mindestens zwei verschiedene npm-Konten des Betreibers haben Pakete mit PhantomRaven veröffentlicht; beide Konten sind inzwischen nicht mehr erreichbar. Weitere Online-Identitäten, die mit derselben Operation in Verbindung stehen, sind laut CrowdStrike jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 und packagedharsh.
Wie weit der Akteur dabei geht, zeigt ein Vorfall aus dem August 2025: “Der Bedrohungsakteur behauptete, über ein von ihm veröffentlichtes bösartiges npm-Paket eine Schwachstelle für die Ausführung von Code aus der Ferne (RCE) entdeckt zu haben”, schreibt die Sicherheitsforscherin Maddie Stewart. Er habe erklärt, den Zielrechner kompromittiert und sein preinstall-Skript ausgeführt zu haben, was ihm angeblich die Codeausführung ermöglichte.
Die Aktivitäten beschränken sich nicht auf npm: Es gibt Hinweise darauf, dass der Akteur auch versucht hat, Pakete in den Python Package Index (PyPI) hochzuladen, die Code eines Infostealers mit Ähnlichkeiten zu PhantomRaven enthielten.
Der mutmaßliche Einsatz eines großen Sprachmodells zur Erzeugung der Schadsoftware fügt sich in einen Trend ein: Angreifer greifen zunehmend auf die Technik zurück und verkürzen damit Zeit- und Arbeitsaufwand für solche Kampagnen erheblich.
CrowdStrike ordnet den Fall entsprechend ein: “Die meisten kriminellen Akteure mieten Standardwerkzeuge oder betreiben eigene Malware; dieser Bedrohungsakteur hat jedoch wahrscheinlich sein eigenes PhantomRaven entwickelt, um Unternehmenswerte zu kompromittieren, und diese Kompromittierungen anschließend als Hebel genutzt, um Belohnungen aus anerkannten Offenlegungsprogrammen einzufordern.”