Was ist passiert?
Bedrohungsakteure mit Verbindungen zu Nordkorea haben gefährliche npm-Pakete verbreitet, die sich als Rollup-Polyfill-Tools tarnen. Die Pakete „rollup-packages-polyfill-core“ und „rollup-runtime-polyfill-core“ ahmen das legitime Projekt „rollup-plugin-polyfill-node“ nach – inklusive Beschreibung, Repository-Metadaten und weiteren Details. Das Ziel: Remote-Zugriff auf Entwickler-Systeme und Diebstahl von sensiblen Daten.
Hintergrund & Bedeutung
Supply-Chain-Attacken über npm-Pakete sind ein etabliertes Angriffsmuster. Entwickler installieren vermeintlich legitime Dependencies, ohne diese gründlich zu überprüfen. Nordkorea-gebundene Gruppen nutzen solche Schwachstellen gezielt, um in Unternehmensumgebungen zu gelangen. Die hohe Ähnlichkeit zu echten Projekten macht Erkennung schwierig. JFrog deckte diese Kampagne auf und warnt vor der zunehmenden Professionalisierung dieser Angriffe.
Empfehlungen für IT-Teams
- Dependency-Überprüfung: Nutzen Sie Tools wie Snyk, npm audit oder JFrog Xray zur automatisierten Analyse verdächtiger Pakete
- Vertrauenskette prüfen: Verifizieren Sie Herkunft, Download-Zahlen und Update-Häufigkeit von npm-Paketen
- Registry-Kontrolle: Implementieren Sie Private npm-Registries und Whitelisting-Richtlinien
- Monitoring: Überwachen Sie verdächtige Netzwerkaktivitäten von Entwicklungs-Maschinen
- Team-Schulung: Sensibilisieren Sie Entwickler für Typosquatting und Impersonation-Taktiken
Fazit
Diese Kampagne unterstreicht die Kritikalität von Supply-Chain-Security. Entwickler sollten bewusst prüfen, welche Dependencies sie integrieren. Organisationen müssen automatisierte Sicherheitsprüfungen etablieren, um solche Bedrohungen frühzeitig zu erkennen.
Quelle: Original Artikel