Security · 7.10.2026
Eine langanhaltende Kampagne namens MALFEX schleust über manipulierte npm-Pakete Schadsoftware wie den Overlord-Trojaner in Entwickler-Umgebungen ein.
Sicherheitsforscher der IT-Sicherheitsunternehmen CloudSEK und Checkmarx haben eine langanhaltende Schadsoftware-Kampagne im npm-Ökosystem aufgedeckt. Unter dem Codenamen „MALFEX“ wurden insgesamt acht manipulierte Pakete identifiziert, die Schadcode wie Informationsdiebe (Info Stealer) und den Remote-Access-Trojaner (RAT) „Overlord“ auf infizierte Systeme schleusen. Die betroffenen Pakete wurden vor ihrer Entdeckung insgesamt 40.767-mal heruntergeladen und stellen ein erhebliches Sicherheitsrisiko für Entwickler-Umgebungen dar.
Supply-Chain-Angriffe über Paketmanager wie npm haben sich zu einer ernsthaften Bedrohung für Unternehmen im DACH-Raum entwickelt. Da Softwareentwickler häufig externe Open-Source-Bibliotheken nutzen, ohne jede Zeile Code manuell zu prüfen, kann Schadcode unbemerkt in produktive Softwarelösungen einfließen. Der in dieser Kampagne genutzte Overlord-Trojaner ermöglicht Angreifern die vollständige Kontrolle über die betroffenen Hosts. Zudem zielen die integrierten Info-Stealer auf sensible Zugangsdaten, Krypto-Wallets und Systeminformationen ab. Für IT-Verantwortliche bedeutet dies ein hohes Risiko für Datenabfluss und Folgeangriffe wie Ransomware-Infektionen im gesamten Unternehmensnetzwerk.
Unternehmen und Entwickler-Teams sollten umgehend ihre Software-Abhängigkeiten auf die betroffenen Pakete überprüfen. Es ist dringend ratsam, automatisierte Sicherheits-Tools zur Software-Kompositionsanalyse (SCA) in die Deployment-Pipelines zu integrieren, um bekannte schadhafte npm-Pakete sofort zu blockieren. Systemadministratoren sollten zudem die Firewall- und Proxy-Logfiles auf ungewöhnliche ausgehende Netzwerkaktivitäten prüfen, die auf eine Kommunikation mit bekannten Command-and-Control-Servern (C2) hinweisen könnten. Grundsätzlich sollte die Installation von Paketen auf verifizierte Quellen beschränkt und das Prinzip der minimalen Rechtevergabe (Least Privilege) auf Entwickler-Workstations und Build-Servern konsequent umgesetzt werden.
Der Vorfall zeigt erneut, wie verwundbar die moderne Software-Lieferkette ist. IT-Abteilungen dürfen sich nicht blind auf öffentliche Paket-Repositorys verlassen, sondern müssen proaktive Kontrollen und restriktive Sicherheitsrichtlinien etablieren, um die Einschleusung von Schadcode frühzeitig zu verhindern.
Quelle: The Hacker News