npm verschärft Token-Berechtigungen als Reaktion auf Angriffe, Web3-Sicherheitsexperten bezweifeln ausreichende Maßnahmen
npm hat begonnen, Zugriffs-Token mit hohen Berechtigungen einzuschränken, um auf die jüngste “Mini Shai-Hulud”-Lieferkettenattacke zu reagieren, von der Web3-Entwickler betroffen sind. Die Plattform hat granular access tokens mit Schreibberechtigung widerrufen und verlangt von den Nutzern, ihre Schlüssel sofort zu rotieren und auf den Trusted Publishing-Mechanismus umzusteigen.
Die Plattform beginnt mit Gegenmaßnahmen
Das unmittelbare Ziel dieser Anpassung ist es, die neueste Ausbreitungswelle der Schadsoftware zu unterbinden. Angreifer nutzten zuvor Tokens mit Schreibberechtigung, um die Zwei-Faktor-Authentifizierung zu umgehen und schädliche Pakete in das npm-Register hochzuladen oder bestehende Paketversionen zu kompromittieren.
Mehrere Sicherheitsexperten sind jedoch der Meinung, dass die Maßnahmen von npm zu spät kommen und hauptsächlich die weitere Ausbreitung einschränken, ohne bereits auf Entwicklergeräten befindlichen Schadcode zu beseitigen.
Infizierte Umgebungen könnten weiterhin Daten leaken
Forscher heben hervor, dass das Widerrufen der Tokens zwar dazu beiträgt, dass keine neuen Schadversionen onlinestellen werden, aber wenig gegen bereits infizierte Entwicklungsumgebungen hilft. Dieser Wurm nistet sich in IDE- und KI-Helfer-Konfigurationen ein und wird jedes Mal aktiviert, wenn Entwickler die entsprechenden Werkzeuge nutzen.
Das bedeutet, dass auch nach dem Löschen von Projektdateien oder dem Bereinigen von node_modules das schädliche Skript die Umgebung erneut infizieren und weiterhin sensible Informationen stehlen könnte.
Angriffsziel: Cloud-Zugangsdaten und Wallet-Mnemonics
Laut öffentlicher Beschreibung stehlen diese Schadprogramme nicht nur gewöhnliche Entwickler-Anmeldeinformationen, sondern sammeln zudem AWS-Cloud-Zugangsdaten, Mnemonics von Crypto-Wallets und andere wertvolle Daten. Diese werden anschließend über die offizielle GitHub-API exfiltriert, wodurch der Datenverkehr wie normale Entwicklungsaktivitäten aussieht und schwerer zu erkennen ist.
- Angreifer kontrollierten ein legitimes npm-Konto mit dem Namen atool
- Innerhalb von 27 Minuten wurden 637 schädliche Versionen veröffentlicht
- Betroffen waren 323 Pakete mit rund 16 Millionen Downloads pro Woche
Sicherheits-Community kritisiert zu reaktives Handeln
Taylor Monahan, leitender Sicherheitsforscher bei MetaMask, sowie andere kritisieren, die aktuelle Herangehensweise der Plattform diene eher der Feststellung des Problems als der eigentlichen Entfernung der Infektion. Ein weiterer Forscher betont, dass das Blockieren von Zugriffsrechten kein Ersatz für eine vollständige Analyse und Säuberung der Schadsoftware sei.
Für Web3-Teams zeigt dieser Vorfall erneut, dass Entwicklungs-Toolchains ein Hochrisiko-Einfallstor darstellen. Besonders seit dem großflächigen Einsatz von KI-basierten Codierhilfen kann sich ein einmal im Konfigurationslayer eingeschleustes Schadskript weit über das einzelne Projekt hinaus auswirken.
Haftungsausschluss: Der Inhalt dieses Artikels gibt ausschließlich die Meinung des Autors wieder und repräsentiert nicht die Plattform in irgendeiner Form. Dieser Artikel ist nicht dazu gedacht, als Referenz für Investitionsentscheidungen zu dienen.
Das könnte Ihnen auch gefallen
Die japanische Wirtschaft tritt unerwartet auf die Bremse! Das BIP wächst im zweiten Quartal nur um 1,1 %, aber die Rendite der 10-jährigen Staatsanleihe steigt auf den höchsten Stand seit 30 Jahren.
Das Wirtschaftswachstum Japans hat sich in den drei Monaten bis Juni unerwartet verlangsamt, was die geldpolitische Kommunikation der Bank of Japan bei der Abwägung des Zeitpunkts für die nächste Zinserhöhung zusätzlich erschweren könnte.
Kommt der entscheidende Moment für das Kapital? Die KI-Erzählung verlagert sich von der Technologie zur Finanzierung, die Cashflows der Großunternehmen geraten in Not, der Anleihemarkt schlägt Alarm.
Bridgewater warnt vor einem „kritischen Moment für Kapital“. Morgan Stanley prognostiziert, dass bis 2028 etwa 1,75 Billionen US-Dollar an Finanzmitteln für den Aufbau von KI aus den Kreditmärkten stammen werden. Die Risiken zeigen sich bereits: Oracle-CDS steigen auf 180 Basispunkte, der freie Cashflow nähert sich -40 Milliarden US-Dollar. Der „neue Bondkönig“ Gundlach sagt offen, dass die Emission von langfristigen Anleihen mit GPU als Sicherheit nichts anderes sei als „30-jährige ABS mit Bananen zu machen“.
Super-Zyklen für Kupfer schwer zu verstehen: BHP.US wird vor den Quartalszahlen von Bullen abgekühlt, Analysten geben ihre optimistische Haltung kollektiv auf
Vor der Veröffentlichung der Jahresergebnisse am Dienstag hat sich die optimistische Stimmung der Analysten gegenüber BHP.US etwas abgekühlt.
Krypto-Preise
Mehr
