SlowMist: Bösartige Supply-Chain-Angriffe auf npm-Nutzer und DeFi-Entwickler entdeckt

Foresight News berichtet, dass laut Überwachung von SlowMist MistEye einen koordinierten bösartigen npm-Lieferkettenangriff festgestellt hat. Dieser Angriff nutzt gefälschte Trading-Bot-Code-Repositories und DeFi-bezogene npm-Pakete, um ein JavaScript-Informationsdiebstahl-Tool an npm-Nutzer, DeFi-Entwickler und Trading-Bot-Nutzer zu verteilen.

An der Kampagne sind 30 bösartige npm-Pakete beteiligt, darunter [email protected], das im donoaccestag/forex-mt5-trading-bot als gesperrte Abhängigkeit erscheint. Das Repository zeigt eindeutige Auffälligkeiten: Es ist abhängig von bereits als bösartig gemeldeten npm-Paketen und weist etwa 2.300 stark ähnliche, vermutlich massenhaft generierte Forks auf, die größtenteils im poly-stocks-Konto konzentriert sind.

Die potenziellen Angreifer stehlen lokale sensible Daten wie Krypto-Wallets, Browser-Cookies, gespeicherte Passwörter, Browserverläufe, Entwickler-Zugangsdaten, Shell-Historien, Tresore von Passwortmanagern, Private Keys, Mnemonics sowie in Quellcode entdeckte API-Tokens. Entwickler sollten die betroffenen npm-Pakete umgehend entfernen, die package.json / package-lock.json und CI-Logs prüfen, um die 30 bösartigen Pakete ausfindig zu machen, jedes System, das npm install ausgeführt hat, als potenziell kompromittiert betrachten, exponierte Wallets, Private Keys, npm-Tokens, Cloud-Zugangsdaten, SSH-Schlüssel und API-Tokens zeitnah ersetzen sowie betroffene Umgebungen von sauberen Images neu aufbauen.