Security · 20.9.2026
Eine neue Malware-Kampagne über manipulierte npm-Pakete wie „indexed-btree“ zeigt, wie Angreifer Installationsfilter umgehen, indem sie Schadcode erst zur Laufzeit ausführen.
Eine aktuelle Malware-Kampagne im npm-Ökosystem nutzt eine raffinierte Methode, um herkömmliche Sicherheitsmechanismen in der Software-Lieferkette zu umgehen. Die Angreifer hinterlegen den Schadcode nicht wie üblich in den Installationsskripten (wie "preinstall" oder "postinstall"), sondern betten ihn direkt in das reguläre Laufzeitverhalten des betroffenen Pakets „indexed-btree“ ein. Dadurch schlagen automatisierte Scanner, die lediglich den Installationsprozess analysieren, keinen Alarm.
Für Entwickler und IT-Verantwortliche in DACH-Unternehmen stellt diese Taktik eine ernsthafte Bedrohung dar. Viele moderne Sicherheitswerkzeuge fokussieren sich primär darauf, verdächtige Aktivitäten während der Paketinstallation zu blockieren. Wenn Schadcode jedoch erst ausgeführt wird, sobald die Anwendung gestartet oder eine bestimmte Funktion aufgerufen wird, versagen diese statischen Schutzmaßnahmen. Dies gefährdet die Integrität von Webanwendungen und internen Systemen, da Angreifer so unbemerkt sensible Daten abziehen oder Hintertüren einrichten können. Die Supply-Chain-Security wird damit zunehmend komplexer, da einfache Sandbox-Analysen beim Download nicht mehr ausreichen.
IT-Abteilungen und Software-Entwickler müssen ihre Abwehrmechanismen anpassen und dürfen sich nicht allein auf die Überprüfung von Installationsskripten verlassen. Folgende Maßnahmen sind dringend empfohlen:
Der Fall zeigt einmal mehr, dass die Sicherheit von Open-Source-Bibliotheken nicht stiefmütterlich behandelt werden darf. Nur eine Kombination aus statischer Code-Analyse, strengem Dependency-Monitoring und Verhaltensüberwachung zur Laufzeit bietet langfristig wirksamen Schutz vor hochgradig verschleierten Angriffen auf die Software-Infrastruktur.
Quelle: BleepingComputer