{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Phishing hat es erm\u00f6glicht, Kontrolle \u00fcber mehrere beliebte NPM-Pakete zu erlangen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es wurde ein Phishing-Angriff auf die begleitenden JavaScript-Bibliotheken registriert, bei dem im Namen des NPM-Services eine Nachricht versendet wurde, die zur Best\u00e4tigung der E-Mail-Adresse aufforderte. Der durchgef\u00fchrte Angriff erm\u00f6glichte es den Angreifern, NPM-Token des Begleiters eines gro\u00dfen JavaScript-Projekts zu erhalten und Updates mit sch\u00e4dlichem Code f\u00fcr f\u00fcnf NPM-Pakete herauszugeben, die insgesamt etwa 100 Millionen Downloads pro Woche z\u00e4hlen. <\/p>\n
Die gesendete Begleitnachricht wurde so gestaltet, dass sie den typischen Benachrichtigungen von NPM \u00e4hnelt, die von der Adresse «support@npmjs.org» gesendet werden. Allerdings wurde als Link die Domain «npnjs.com» anstelle von «npmjs.com» angegeben (dritte Buchstabe «n» anstelle von «m»). Angreifer nutzten den psychologischen Effekt aus, durch den das Gehirn, wenn es mit dem erwarteten Ergebnis rechnet, geringf\u00fcgige Verzerrungen, wie das Ersetzen von Buchstaben durch \u00e4hnliche oder das \u00c4ndern der Reihenfolge von Buchstaben in einem Wort, nicht bemerkt. Bei einem Klick auf den Link wurde eine vollst\u00e4ndige Kopie der Website npmjs.com ge\u00f6ffnet (vermutlich wurde ein Proxy eingerichtet, der das Zugriffstoken abfing).
<\/center> <\/p>\n
Im Rahmen des Angriffs wurden neue Versionen der Pakete erstellt: <\/p>\n
In die ver\u00f6ffentlichten Versionen wurde schadhafter Code hinzugef\u00fcgt, um Benutzer, die die Windows-Plattform verwenden, anzugreifen. Die vorgenommenen \u00c4nderungen luden die Bibliothek node-gyp.dll herunter, die Funktionen f\u00fcr die Remoteausf\u00fchrung von Befehlen im System enthielt. <\/p>\n
Der Betroffene bemerkte, dass er Opfer von Phishing wurde, etwa eine Stunde nachdem die erste Beschwerde \u00fcber die Ver\u00f6ffentlichung verd\u00e4chtiger Releases einging. Er zog sofort das Zugangs-Token zur\u00fcck, \u00e4nderte die Passw\u00f6rter und kennzeichnete die problematischen Versionen als veraltet, um einen Download durch automatisierte Build-Systeme zu verhindern. Au\u00dferdem leitete er die Anfrage zur L\u00f6schung der problematischen Versionen aus dem Repository an den NPM-Support weiter. <\/p>\n
Es wird nicht spezifiziert, wie viele Nutzer es geschafft haben, die sch\u00e4dlichen Versionen herunterzuladen (zum Beispiel blieb die schadhafte Version des Pakets eslint-plugin-prettier etwa zwei Tage im Repository online). In der letzten Woche kam das Paket eslint-config-prettier auf 30 Millionen Downloads und wurde als Abh\u00e4ngigkeit in 11.762 Paketen verwendet. Das Paket eslint-plugin-prettier verzeichnete 21 Millionen Downloads (8.468 abh\u00e4ngige Pakete), synckit 18 Millionen, @pkgr\/core 16 Millionen und napi-postinstall 10 Millionen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Phishing](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n