{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Phishing erm\u00f6glichte die \u00dcbernahme mehrerer beliebter NPM-Pakete.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es wurde ein Phishing-Angriff auf begleitende JavaScript-Bibliotheken festgestellt, bei dem im Namen des NPM-Dienstes eine Nachricht versendet wurde, die zur Best\u00e4tigung der E-Mail-Adresse aufforderte. Der Angriff erm\u00f6glichte es den T\u00e4tern, die NPM-Tokens eines der gro\u00dfen JavaScript-Projekte zu erlangen und Updates mit sch\u00e4dlichem Code f\u00fcr f\u00fcnf NPM-Pakete herauszugeben, die insgesamt etwa 100 Millionen Downloads pro Woche verzeichnen. <\/p>\n
Die gesendete Begleitnachricht wurde im Stil der typischen NPM-Benachrichtigungen formuliert, die von der Adresse \u201esupport@npmjs.org\u201c versendet werden, jedoch wurde als Link die Domain \u201enpnjs.com\u201c anstelle von \u201enpmjs.com\u201c angegeben (dritte Buchstabe \u201en\u201c anstelle von \u201em\u201c). Die Angreifer nutzten den psychologischen Effekt, durch den das Gehirn, das das erwartete Ergebnis vorwegnimmt, geringf\u00fcgige Verzerrungen nicht wahrnimmt, wie die Ersetzung von Buchstaben durch \u00e4hnliche oder die \u00c4nderung der Buchstabenreihenfolge in einem Wort. Beim Klicken auf den Link \u00f6ffnete sich eine vollst\u00e4ndige Kopie der Website npmjs.com (wahrscheinlich wurde ein Proxy eingerichtet, der das Zugangstoken abf\u00e4ngt).
<\/center> <\/p>\n
Im Rahmen des Angriffs wurden neue Versionen der Pakete erstellt: <\/p>\n
In die erstellten Releases wurde sch\u00e4dlicher Code eingef\u00fcgt, um Benutzer anzugreifen, die die Windows-Plattform nutzen. Die \u00c4nderungen luden die Bibliothek node-gyp.dll herunter, die Funktionen f\u00fcr die Remote-Ausf\u00fchrung von Befehlen im System enthielt. <\/p>\n
Der Begleiter bemerkte, dass er etwa eine Stunde nach der ersten Beschwerde \u00fcber die Ver\u00f6ffentlichung verd\u00e4chtiger Releases Opfer eines Phishings geworden war. Er zog sofort das Zugriffstoken zur\u00fcck, \u00e4nderte die Passw\u00f6rter und kennzeichnete die problematischen Versionen als veraltet, um zu verhindern, dass automatisierte Build-Systeme sie herunterladen, und schickte eine Anfrage zur Entfernung der problematischen Versionen aus dem Repository an den NPM-Support. <\/p>\n
Es wird nicht klargestellt, wie viele Benutzer die sch\u00e4dlichen Versionen heruntergeladen haben (zum Beispiel blieb die sch\u00e4dliche Version des Pakets eslint-plugin-prettier etwa zwei Tage im Repository). In der letzten Woche verzeichnete das Paket eslint-config-prettier 30 Millionen Downloads und wurde als Abh\u00e4ngigkeit in 11.762 Paketen verwendet, das Paket eslint-plugin-prettier hatte 21 Millionen Downloads (8468 abh\u00e4ngige Pakete), synckit hatte 18 Millionen, @pkgr\/core hatte 16 Millionen und napi-postinstall hatte 10 Millionen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Phishing](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n