Nordkoreanische Hacker kapern Axios-Bibliothek bei ausgeklügeltem Angriff auf die Software-Lieferkette mit dem Ziel, Kryptowährungen zu stehlen

Millionen Entwickler betroffen: Angreifer schleusen Schadcode in beliebte Codebibliothek ein

Mutmaßliche nordkoreanische Hacker haben einen der operativ ausgefeiltesten Angriffe auf die Software-Lieferkette der jüngeren Vergangenheit durchgeführt und Axios kompromittiert, eine JavaScript-Bibliothek mit rund 100 Millionen Downloads pro Woche. Bei dem Angriff, der in den frühen Morgenstunden des 31. März etwa drei Stunden dauerte, wurde Schadcode in Software eingeschleust, die Tausende Unternehmen aus dem Gesundheitswesen, der Finanzbranche, dem Kryptowährungshandel und der Technologiebranche einsetzen. Sicherheitsforscher schätzen, dass die manipulierten Versionen von rund drei Prozent der Nutzer der Bibliothek heruntergeladen wurden. Dadurch könnten Hunderttausende Systeme Fernzugriffstrojanern ausgesetzt sein, die Kryptowährungen und Zugangsdaten von Unternehmen stehlen sollen.

Axios ist ein auf Promises basierender HTTP-Client, mit dem sich asynchrone API-Anfragen sowohl von Node.js als auch von Browsern aus stellen lassen. Damit ist die Bibliothek ein grundlegender Bestandteil moderner Webanwendungen. Unternehmen vom Gesundheitswesen bis zu Finanzinstituten nutzen sie, um die Erstellung von Websites und den Datenaustausch zu vereinfachen. Auch einige Kryptowährungsunternehmen und Technologieunternehmen aus der Digital-Asset-Branche setzen die Software ein und sind damit besonders wertvolle Ziele für Pyongyangs Cyberoperationen zur Einnahmengenerierung. Die weite Verbreitung von Axios in Unternehmensumgebungen birgt Kaskadenrisiken für nachgelagerte Abhängigkeiten und integrierte Dienste.

Googles Threat Intelligence Group hat den Vorfall offiziell UNC1069 zugeschrieben, einem finanziell motivierten nordkoreanischen Bedrohungsakteur, der mindestens seit 2018 aktiv ist. Die Gruppe hat sich darauf spezialisiert, Kryptowährungsbörsen, Plattformen für dezentrale Finanzdienstleistungen und Risikokapitalfirmen anzugreifen, um Pyongyangs Atom- und Raketenprogramme zu finanzieren. Laut Mandiant, dem zu Google gehörenden Sicherheitsunternehmen, ist der Vorfall die jüngste Eskalation in Nordkoreas Kampagne, die globale Software-Lieferkette gegen wirtschaftlich wichtige Ziele als Waffe einzusetzen.

Charles Carmakal, Chief Technology Officer von Mandiant, erläuterte, dass die Bedrohung langfristig besteht.

Wir gehen davon aus, dass sie versuchen werden, die Zugangsdaten und den Systemzugriff, die sie sich bei diesem Angriff auf die Software-Lieferkette verschafft haben, zu nutzen, um Unternehmen anzugreifen und Kryptowährungen zu stehlen. Es wird wahrscheinlich Monate dauern, die Auswirkungen dieser Kampagne auf nachgelagerte Systeme einzuschätzen.

John Hammond, Sicherheitsforscher bei Huntress, berichtete, sein Unternehmen habe bereits rund 135 kompromittierte Geräte bei etwa zwölf Unternehmen identifiziert. Er gehe jedoch davon aus, dass dies nur die erste Welle von Entdeckungen sei, während Unternehmen ihre forensischen Prüfungen abschlössen.

So lief der Angriff auf die Lieferkette ab

Der Angriff begann damit, dass die Hacker das npm-Konto von @jasonsaayman übernahmen, dem Hauptverantwortlichen für die Axios-Bibliothek. Statt ausgeklügelte Zero-Day-Schwachstellen auszunutzen, verwendeten die Angreifer ein seit Langem gültiges Zugriffstoken, um moderne Sicherheitsvorkehrungen einschließlich der auf OpenID Connect basierenden Authentifizierungsabläufe zu umgehen. So konnten sie zwei mit einem Trojaner versehene Versionen der Software, 1.14.1 und 0.30.4, direkt im Node Package Manager-Registry veröffentlichen, ohne übliche Sicherheitswarnungen auszulösen oder eine Mehr-Faktor-Authentifizierung zu benötigen.

Hammond wies auf einen entscheidenden Konfigurationsfehler hin, der den Angriff ermöglichte. Selbst im v1.x-Zweig, in dem OIDC Trusted Publishing eingerichtet war, übergab der Veröffentlichungs-Workflow NPM_TOKEN weiterhin als Umgebungsvariable neben den OIDC-Zugangsdaten. Sind beide vorhanden, verwendet npm das Token. Das seit Langem gültige Token war damit für alle Veröffentlichenden faktisch das Authentifizierungsverfahren, unabhängig von der OIDC-Konfiguration. Dieses Architekturversäumnis ermöglichte es den Angreifern, die Schutzmaßnahmen zu umgehen, obwohl der Maintainer für seine Konten die Mehr-Faktor-Authentifizierung aktiviert hatte. Das zeigt, wie ältere Authentifizierungsmechanismen moderne Sicherheitskonzepte untergraben können.

Die Angreifer gingen mit sorgfältiger Vorbereitung und Geduld vor. Achtzehn Stunden vor dem Hauptangriff veröffentlichten sie eine saubere Version einer Phantom-Abhängigkeit namens plain-crypto-js, um eine Veröffentlichungshistorie aufzubauen und mit einem Konto ohne bisherige Aktivitäten keinen Verdacht zu erregen. Zwanzig Minuten vor der ersten manipulierten Axios-Veröffentlichung stellten sie eine präparierte Version dieser Abhängigkeit bereit. Sie enthielt ein Skript, das nach der Installation automatisch ausgeführt wird, wenn Entwickler die kompromittierte Bibliothek installierten oder aktualisierten. Nur 39 Minuten später folgte die zweite manipulierte Veröffentlichung. Das deutet darauf hin, dass die Gruppe ihre Bereitstellungspipeline automatisiert hatte, um das kurze Zeitfenster für eine möglichst weite Verbreitung zu nutzen.

Während des Angriffs hatten die Maintainer erhebliche Schwierigkeiten, die Kontrolle zurückzugewinnen. In einem öffentlichen GitHub-Issue erklärte ein Mitwirkender, er könne dem für die schädliche Veröffentlichung verantwortlichen Konto den Zugriff nicht entziehen, da die Berechtigungen des Angreifers weiter reichten als seine eigenen. So begann ein Wettlauf gegen die Zeit: Die Hacker behielten ihre Veröffentlichungsrechte, während die Entwicklergemeinschaft versuchte, den Schaden einzudämmen. npm nahm die schädlichen Versionen schließlich drei Stunden nach ihrer ersten Veröffentlichung zurück und belegte das Paket plain-crypto-js mit einer Sicherheitssperre. Eine Stunde später ersetzte npm es durch einen Platzhalter zum Schutz vor Sicherheitsrisiken.

Plattformübergreifende Malware installiert Hintertür mit dauerhaftem Zugriff

Nach der Installation spielte die schädliche Abhängigkeit einen verschleierten JavaScript-Dropper namens SILKBELL ein, der plattformspezifische Nutzlasten von einem entfernten Command-and-Control-Server unter sfrclak.com abrief. Auf Windows-Systemen lieferte die Malware PowerShell-basierte Werkzeuge aus, mit denen beliebige Befehle ausgeführt werden konnten. macOS-Nutzer erhielten eine C++-Mach-O-Datei, während Linux-Installationen mit einer Python-Hintertür angegriffen wurden. Sicherheitsforscher identifizierten diese zweite Schadsoftware-Stufe als WAVESHAPER.V2, eine Weiterentwicklung einer Hintertür, die UNC1069 bereits bei Angriffen auf die Kryptowährungsbranche seit 2023 zugeschrieben wird.

Die technische Architektur des Angriffs zeugt von gezielter Tarnung und Rücksicht auf die jeweilige Plattform. Statt den Quellcode von Axios direkt zu verändern, was in öffentlichen Repositories sichtbar gewesen wäre und Warnungen bei der Codeüberprüfung ausgelöst hätte, schleusten die Hacker ihre schädliche Funktionalität über eine Abhängigkeitskette ein. „In Axios selbst gibt es keine einzige Zeile schädlichen Codes, und genau das macht diesen Angriff so gefährlich“, erklärten Forscher von StepSecurity. Das Paket plain-crypto-js wurde über einen postinstall-Hook in seiner Datei package.json ausgeführt. Dadurch konnte die Malware während der Installation unbemerkt starten, bevor sie ihre eigenen Spuren beseitigte und die Paketmetadaten durch eine saubere Version ersetzte.

WAVESHAPER.V2 sendet alle 60 Sekunden ein Signal an seine Command-and-Control-Infrastruktur und nimmt dynamische C2-URLs über Befehlszeilenargumente entgegen. So können die Angreifer ihre Infrastruktur wechseln, ohne die Malware erneut bereitstellen zu müssen. Die Hintertür unterstützt vier Hauptfunktionen: Ausführungsprozesse beenden, Verzeichnisse mit detaillierten Dateimetadaten wie Zeitstempeln und Größen auflisten, Systembefehle über native Skriptsprachen wie AppleScript auf macOS oder Shell-Befehle unter Linux ausführen und beliebige Binärdateien in laufende Prozesse einschleusen. Analysen von Elastic Security Labs ergaben, dass die macOS-Binärdatei Verweise auf Entwickler-Buildpfade enthält, die direkt zu BlueNoroffs webT-Modul aus früheren RustBucket- und Hidden-Risk-Malwarekampagnen führen. Das stützt die Zuordnung zu Nordkorea zusätzlich.

Pyongyangs digitale Einnahmequelle

Nordkoreas Hackeroperationen haben sich zu einer wichtigen Finanzierungsquelle für das wegen Sanktionen eingeschränkte Atomwaffenprogramm des Landes entwickelt. Laut Berichten der Vereinten Nationen und Schätzungen des Weißen Hauses aus dem Jahr 2023 stammt etwa die Hälfte der Mittel für Pyongyangs Raketenentwicklung aus Cyberdiebstahl. In den vergangenen Jahren stahlen Hacker Milliarden Dollar von Banken und Kryptowährungsunternehmen. Allein im vergangenen Jahr erbeuteten nordkoreanische Akteure bei einem Rekordangriff Kryptowährungen im Wert von 1,5 Milliarden Dollar. Das zeigt, dass sie Ziele mit hohem Wert in großem Maßstab kompromittieren können.

Ben Read, Leiter der strategischen Bedrohungsanalyse bei Wiz, erklärte, Nordkorea gehe anders vor als andere staatliche Akteure.

Nordkorea macht sich weder Sorgen um seinen Ruf noch darum, irgendwann identifiziert zu werden. Deshalb sind solche Operationen zwar sehr auffällig und öffentlichkeitswirksam, aber diesen Preis ist das Land zu zahlen bereit.

Diese Risikobereitschaft ermöglicht es Pyongyang, unverhohlene Angriffe auf die Lieferkette durchzuführen, die andere Staaten wegen möglicher diplomatischer Folgen oder der Gefahr einer Zuordnung möglicherweise vermeiden würden. Die Kompromittierung von Axios folgt einem Muster, das sich vor drei Jahren abzeichnete, als nordkoreanische Akteure mutmaßlich in 3CX eindrangen, einen Softwareanbieter, den Gesundheitsunternehmen und Hotelketten für Sprach- und Videoanrufe nutzen.

John Hultquist, Chefanalyst bei Googles Threat Intelligence Group, betonte, dass sich die Gruppe besonders auf digitale Vermögenswerte konzentriert.

Nordkoreanische Hacker verfügen über umfangreiche Erfahrung mit Angriffen auf die Lieferkette, die sie in der Vergangenheit zum Diebstahl von Kryptowährungen genutzt haben. Das volle Ausmaß dieses Vorfalls ist noch unklar. Angesichts der Beliebtheit des kompromittierten Pakets rechnen wir jedoch mit weitreichenden Auswirkungen.

UNC1069 hat bereits zuvor Finanztechnologieunternehmen mit gefälschten Zoom-Meetings, Social Engineering und mehreren eigens entwickelten Malware-Familien angegriffen. Das zeigt, dass die Gruppe das Kryptowährungsökosystem dauerhaft und mit immer neuen Methoden ins Visier nimmt.

Eine Kaskade von Schwachstellen in der Lieferkette

Der Vorfall um Axios ereignet sich inmitten eines besorgniserregenden Anstiegs von Angriffen auf die Lieferkette im Open-Source-Software-Ökosystem. Im vergangenen Monat mussten Sicherheitsteams auf eine Kettenreaktion von Angriffen auf Trivy, ein beliebtes Werkzeug zum Scannen auf Sicherheitslücken, LiteLLM, eine weit verbreitete Python-Bibliothek zur Integration von KI-Modellen, und Telnyx, eine Kommunikationsplattform, reagieren. Google hat zwar bestätigt, dass der Angriff auf Axios nicht mit den jüngsten Problemen in der TeamPCP-Lieferkette zusammenhängt. Doch jeder erfolgreiche Einbruch verschafft Angreifern neue Zugangsdaten und Erstzugriff auf weitere Repositories und schafft so einen sich selbst verstärkenden Kreislauf von Kompromittierungen.

Carmakal warnte, die jüngste Angriffswelle habe einen riesigen Bestand gestohlener Geheimnisse hervorgebracht. „Die in den vergangenen zwei Wochen gestohlenen Geheimnisse werden in den kommenden Tagen, Wochen und Monaten weitere Angriffe auf die Software-Lieferkette, Kompromittierungen von Software-as-a-Service-Umgebungen mit Folgen für nachgelagerte Kunden, Ransomware- und Erpressungsfälle sowie Krypto-Diebstähle ermöglichen“, erklärte er. „Uns sind Hunderttausende gestohlene Zugangsdaten bekannt. Hinter diesen Angriffen stehen verschiedene Akteure mit unterschiedlichen Motiven. Der potenzielle Schadensradius des gestrigen Angriffs auf die npm-Lieferkette von Axios ist groß und reicht bis zu anderen beliebten Paketen, die davon abhängen.“

Tom Hegel, leitender Forscher bei SentinelOne, hob hervor, wie unsichtbar die Bedrohung ist.

Jedes Mal, wenn Sie eine Website laden, Ihren Kontostand prüfen oder eine App auf dem Smartphone öffnen, läuft Axios wahrscheinlich irgendwo im Hintergrund und sorgt dafür, dass es funktioniert. Sie müssen nichts anklicken und keinen Fehler machen. Die Software, der Sie bereits vertrauen, hat es für Sie getan.

Das verdeutlicht, wie Angriffe auf die Lieferkette das Vertrauen ausnutzen, das Nutzer etablierten Softwarekomponenten entgegenbringen. So umgehen sie herkömmliche Sicherheitsschulungen und Schutzmaßnahmen auf Endgeräten.

Umgehungstechniken und forensische Gegenmaßnahmen

Die Angreifer setzten ausgeklügelte Maßnahmen zur Spurenverwischung ein, die die Reaktion auf den Vorfall und seine Erkennung erschweren. Nach der Ausführung löschte die Malware nicht nur ihre eigenen Installationsdateien, sondern manipulierte auch die Versionsangabe, um Sicherheitsverantwortliche zu täuschen. Das schädliche Paket plain-crypto-js gab als eigene Version 4.2.0 statt 4.2.1 an. Damit sollten Sicherheitsteams bei der Überprüfung der Paketintegrität verwirrt werden. Diese Technik der Versionsfälschung sollte Administratoren glauben machen, ihre Systeme führten legitime Software aus, obwohl sie tatsächlich die kompromittierte Version installiert hatten.

Tomislav Pericin, Chefsoftwarearchitekt bei ReversingLabs, bezeichnete den Angriff nicht als Einzelfall, sondern als Vorlage für künftige Operationen.

Die hier dokumentierte operative Raffinesse, darunter kompromittierte Maintainer-Zugangsdaten, vorbereitete Nutzlasten für drei Betriebssysteme, Angriffe auf beide Veröffentlichungszweige innerhalb von weniger als 40 Minuten und eine eingebaute Selbstzerstörung zur Spurenverwischung, zeigt, dass dieser Bedrohungsakteur den Angriff als skalierbare Operation geplant hat. Sollte diese Kampagne nun auch bei PyPI und NuGet auftauchen, würde das zu den bereits erkennbaren Angriffsmechanismen passen: Ziel war es, möglichst viele Entwickler zu erreichen.

Unternehmen müssen jetzt nicht nur ihre npm-Abhängigkeiten prüfen, sondern alle Paketmanager, die in ihre Build-Pipelines einfließen. Hammond bezeichnete den Zeitpunkt angesichts des aktuellen Trends zur Automatisierung als besonders besorgniserregend. Er erklärte, der Angriff sei perfekt getimt gewesen, da Unternehmen zunehmend KI-Agenten einsetzten, die Software ohne Prüfung oder Schutzvorkehrungen erzeugten. Das Risiko betrifft nicht nur direkte Axios-Nutzer, sondern alle Unternehmen, deren Entwicklungstools Abhängigkeiten automatisch auflösen. Isaac Evans, Gründer von Semgrep, wies darauf hin, dass auch Entwickler betroffen sein konnten, die ihre Versionen festgelegt, Sperrdateien gepflegt und übliche Sicherheitsregeln befolgt hatten, weil ihre integrierte Entwicklungsumgebung die Abhängigkeit im Hintergrund geladen hatte.

Die Software-Lieferkette sichern

Sicherheitsteams in zahlreichen Branchen versuchen nun, das Ausmaß der Gefährdung zu ermitteln und kompromittierte Systeme zu bereinigen. Unternehmen, die Axios einsetzen, müssen ihre Abhängigkeitsbäume umgehend auf die Versionen 1.14.1 und 0.30.4 prüfen, auf nachweislich sichere Versionen wie 1.14.0 oder 0.30.3 zurückstufen und alle Zugangsdaten ändern, auf die während des Installationszeitraums zugegriffen werden konnte. Technische Hinweise auf eine Kompromittierung sind das Vorkommen von plain-crypto-js in node_modules-Verzeichnissen, Netzwerkverbindungen zu sfrclak.com (IP-Adresse 142.11.206.73) sowie verdächtige Prozesse in temporären Verzeichnissen wie /Library/Caches/com.apple.act.mond auf macOS-Systemen.

Zu den sofortigen Gegenmaßnahmen gehören, Axios in package-lock.json-Dateien auf bekannte sichere Versionen festzulegen, um versehentliche Aktualisierungen zu verhindern, nach der schädlichen Abhängigkeit zu suchen, erkannte Schadprozesse zu beenden, die identifizierte Command-and-Control-Domain an den Netzwerkgrenzen zu sperren, betroffene Systeme von Produktionsnetzwerken zu isolieren und alle Geheimnisse und Zugangsdaten zu ändern, die während des Zeitfensters der Kompromittierung offengelegt worden sein könnten. Unternehmen sollten außerdem Zugriffsprotokolle auf die unbefugte Verwendung von API-Schlüsseln oder Dienstkonten prüfen, die von der Malware möglicherweise abgegriffen wurden.

Ilkka Turunen, Field CTO bei Sonatype, betonte die grundlegenden Vertrauensfragen, die der Vorfall aufwirft. „Dieser Angriff zeigt, dass Hacker nun das Vertrauen ausnutzen, das Menschen in den Code setzen, statt den Code selbst anzugreifen“, erklärte er. „Die schädliche Funktionalität wurde über eine vorbereitete Abhängigkeit eingeschleust und sollte ihre eigenen Spuren verwischen. Dadurch war der Angriff schwerer zu erkennen und langsamer zu verstehen. Das ist nicht einfach nur Malware, sondern ein gezielteres und ausgereifteres Vorgehen.“ Mike Puglia, Sicherheitsexperte bei Kaseya, merkte an, die Vorfälle seien ein weiterer Beleg für die Anfälligkeit des weltweiten Software-Ökosystems: Wird ein einziges Konto kompromittiert, können innerhalb weniger Stunden Zehntausende Unternehmen betroffen sein.

Die wichtigsten Punkte

• Die nordkoreanische Bedrohungsgruppe UNC1069 kompromittierte die JavaScript-Bibliothek Axios, die wöchentlich 100 Millionen Downloads verzeichnet und in rund 80 Prozent der Cloud-Umgebungen eingesetzt wird
• Die schädlichen Versionen 1.14.1 und 0.30.4 waren am 31. März etwa drei Stunden lang verfügbar. Rund drei Prozent der Nutzerbasis luden sie herunter, was potenziell 600.000 Downloads entspricht
• Der Angriff nutzte eine Phantom-Abhängigkeit namens plain-crypto-js, um WAVESHAPER.V2 einzuschleusen, eine plattformübergreifende Hintertür, die Windows-, macOS- und Linux-Systeme infizieren kann
• Google Mandiant rechnet damit, dass die Gruppe gestohlene Zugangsdaten für langfristige Operationen zum Diebstahl von Kryptowährungen nutzen wird, um Nordkoreas Atom- und Raketenprogramme zu finanzieren
• Die Malware verfügte über ausgefeilte Maßnahmen zur Spurenverwischung, darunter Selbstlöschung und Versionsfälschung: Sie gab 4.2.0 statt 4.2.1 als Version an, um der Entdeckung zu entgehen
• Unternehmen müssen ihre Abhängigkeitsbäume prüfen, alle Zugangsdaten ändern, die C2-Domain sfrclak.com und die IP-Adresse 142.11.206.73 sperren sowie umgehend auf sichere Axios-Versionen zurückstufen
• Der Angriff gelang mithilfe eines seit Langem gültigen Zugriffstokens, das die OIDC-Authentifizierungskontrollen umging. Das unterstreicht, wie wichtig es ist, veraltete Zugangsdaten zu beseitigen