Miasma-Malware weitet npm-Lieferkettenangriffe aus und zielt auf Entwickler-Anmeldedaten

Eine als Miasma bekannte Lieferketten-Malware hat laut Microsoft Threat Intelligence mehr als 20 Versionen legitimer npm-Pakete infiziert, die mit den Ökosystemen Leo Platform und RStreams verbunden sind. Das Unternehmen erklärte, die jüngste Angriffswelle habe am späten 24. Juni begonnen, als Angreifer ein npm-Maintainer-Konto namens „czirker“ übernahmen und in einem hochgradig automatisierten Prozess, der innerhalb von Sekunden abgeschlossen war, schädliche Paket-Updates veröffentlichten.

Die Kampagne zielt darauf ab, sensible Daten von Entwickler-Endpunkten und aus CI-Umgebungen zu stehlen. Microsoft zufolge sucht die Malware nach Cloud- und Quellcodeverwaltungsgeheimnissen, darunter Anmeldedaten für AWS, Azure und Google Cloud, persönliche GitHub-Zugriffstoken, Kubernetes-Geheimnisse, HashiCorp-Vault-Daten, 1Password-Informationen und npm-Veröffentlichungszugangsdaten. Außerdem überprüft sie den Speicher von GitHub-Actions-Runnern auf weitere Geheimnisse.

Statt gestohlene Daten an einen herkömmlichen Command-and-Control-Server zu senden, erstellt die Malware unter dem Konto des Opfers ein GitHub-Repository und lädt die Informationen dorthin hoch. Forschern zufolge hilft dieser Ansatz dabei, die Aktivitäten in normal wirkenden Entwickler-Workflows zu verbergen. Die Malware versucht außerdem, Pakete erneut zu veröffentlichen, die das kompromittierte Konto verwalten darf. Dadurch kann sie sich weiterverbreiten, selbst wenn bei npm die Zwei-Faktor-Authentifizierung aktiviert ist.

Wie sich die Malware verändert hat

Sicherheitsforscher von Sonatype erklärten, dass sich diese Version von früheren Miasma-Samples unterscheidet. Frühere Varianten stützten sich stärker auf npm-Installations-Hooks, während die neuere Version ihre Payload an einer anderen Stelle in der Installationskette platziert. Außerdem lädt sie die JavaScript-Laufzeitumgebung Bun herunter und führt sie aus, anstatt vollständig von Node.js abhängig zu sein – eine Änderung, die ihr helfen könnte, einige Erkennungstools zu umgehen.

Miasma wurde mit früheren Vorfällen in Verbindung gebracht, bei denen manipulierte Red-Hat-npm-Pakete zum Einsatz kamen. Teile der Tools sollen zudem öffentlich geteilt worden sein, wodurch sie von anderen Angreifern leichter wiederverwendet werden können. Microsoft rät Organisationen, die betroffene Versionen installiert haben, Entwickler-Systeme und CI-Runner als potenziell kompromittiert zu behandeln.

• Abhängigkeitssperrdateien und interne Paket-Mirrors überprüfen
• Build-Caches, Container-Images und CI-Runner auf Kopien schädlicher Pakete prüfen
• Offengelegte Geheimnisse rotieren, nachdem sichergestellt wurde, dass die infizierten Artefakte entfernt wurden

Sicherheitsteams warnen davor, Zugangsdaten zu früh zu ersetzen, bevor schädliche Pakete vollständig entfernt wurden. Andernfalls könnten Angreifer einfach neue Geheimnisse erhalten, die sie erneut stehlen können.