Microsoft: Schädliches NPM-Paket stiehlt vertrauliche Daten von Unix-Systemen

Unbekannte schleusen es in den Paket-Manager für JavaScript ein. Microsoft-Forscher entdecken das Paket schon nach 14 Tagen. In der Zeit kommt es nur auf rund 32 Downloads. Das Paket stiehlt unter anderem Umgebungsvariablen.

Microsofts Vulnerability Research Team hat im Node Package Manager (NPM), dem de-facto Packet-Manager für das JavaScript-Ökosystem, ein schädliches Paket entdeckt. Es war dort seit 30. Dezember erhältlich und wurde seitdem mindestens 32-mal heruntergeladen. Einer Analyse zufolge führt das Paket Skripte aus, um vertrauliche Daten von Unix-Systemen zu stehlen.

Security (Bild: Shutterstock)Das Paket mit dem Namen 1337qq-js ist demnach in der Lage, Umgebungsvariablen, Informationen zu laufenden Prozessen und den Inhalt des Verzeichnisses „/etc/hosts“ auszulesen. Vor allem der Verlust von Umgebungsvariablen gilt als kritischer Sicherheitsbruch, da sie unter anderem fest hinterlegte Passwörter oder API-Access-Tokens für Web-Anwendungen und mobile Apps enthalten können.

Das NPM-Team empfiehlt nun allen Entwickler, die das fragliche Paket heruntergeladen oder gar für ihre Projekte benutzt haben, es von ihren Systemen zu entfernen. Sie werden außerdem aufgefordert, alle möglicherweise kompromittierten Passwörtern zu erneuern.

Es ist auch nicht das erste Mal, dass ein schädliches Paket im NPM Repository entdeckt wurde. Von den fünf anderen Fällen der vergangenen rund drei Jahre ist der jüngste Vorfall auch der mit den geringsten Folgen – vor allem, weil das Paket sehr schnell entdeckt wurde.

Im April 2017 war es einem Hacker gelungen, 38 schädliche JavaScript-Bibliotheken hochzuladen. Sie sollten ebenfalls Umgebungsvariablen ausspionieren. Im Mai 2018 versuchte ein Hacker in dem Paket Getcookies eine Backdoor zu verstecken. Nur zwei Monate später wurde die Bibliothek ESLint mit Schadcode verseucht, um Anmeldedaten von Entwicklern zu stehlen. Im Juli 2019 sowie im November 2018 hatten es Unbekannte jeweils auf Pakete abgesehen, die von Geldbörsen für Kryptowährungen benutzt werden.

WEBINAR

HPE GreenLake: Optimale Basis für Ihre Cloud

HPE GreenLake ist ein IT-as-a-Service-Angebot, das das Cloud-Erlebnis in Ihre On-Premises-Infrastruktur bringt und Ihre Edges, Clouds und Rechenzentren vereinheitlicht. Lernen Sie in diesem Webinar, wie Sie die Vorteile der HPE-Lösung optimal für Ihr Unternehmen nutzen.

Themenseiten: Microsoft, Security, Sicherheit, Unix

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

2 Kommentare zu Microsoft: Schädliches NPM-Paket stiehlt vertrauliche Daten von Unix-Systemen

Kommentar hinzufügen
  • Am 15. Januar 2020 um 10:37 von linus torvalds nachbar

    das ist seit 15 jahren auch der grund warum in freien-linux-system java per default(standart) generell wo es möglich ist deaktiviert ist und generell als unwillkommen gilt bei den entwicklern

    • Am 17. Januar 2020 um 8:03 von Spaziergänger

      Bitte was? Was hat denn jetzt Java mit npm zu tun?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *