Unbekannte Angreifer haben die Datenbank der Behörde für abgesicherte Ausweise (ANTS) Frankreichs geknackt. Das hat die Behörde am 15. April festgestellt und sechs Tage später öffentlich bekanntgegeben. Demnach sind 11,7 Millionen Online-Konten betroffen. Laut französischer Medienberichte wird der erbeutete Datensatz bereits auf dem Schwarzmarkt feilgeboten. Dabei würden sogar 19 Millionen Datensätze versprochen.

Der Grund für den deutlichen Unterschied ist nicht gesichert. Der Verkäufer könnte schlicht übertreiben, oder Konten, die von der ANTS mehrere Dokumente bezogen haben, mehrfach zählen. Laut Behörde enthalten die erbeuteten Datensätze Username, Anrede, Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, Kontonummer und, für einen Teil der Konten, zusätzlich Postadresse, Geburtsort und Telefonnummer. Anträgen auf Ausweise und andere Dokumente müssen in aller Regel weitere Dokumente beigefügt und allzu oft biometrische Datensätze mitgegeben werden. Diese hat sich der Täter nach bisherigem Ermittlungsstand nicht aneignen können, sagt die Behörde.

Die ANTS (Agence nationale des titres sécurisés) ist auch als France Titre bekannt. Es handelt sich um eine Abteilung des französischen Innenministeriums. Sie ist zuständig für die Ausstellung von Reisepässen, Personalausweisen, sowie Führerscheinen für Straßenfahrzeuge und Motorboote, sowie für Dokumente über die Zulassung von Kraftfahrzeugen, Aufenthaltstitel, Visa und eine Reihe weiterer Ausweise und Dokumente für Aufenthalte und Grenzübertritte. Gedruckt werden die Papiere allerdings von der Staatsdruckerei (Imprimerie nationale).

Wie der Einbruch in die Datenbank gelungen ist, sagt die ANTS nicht. Das ist offenbar noch Gegenstand der laufenden Untersuchung. Betroffene sind per E-Mail informiert worden. Bestimmte Vorkehrungen empfiehlt das Innenministerium Frankreichs Bürgern nicht, außer, dass sie beim nächsten Login ihr ANTS-Passwort ändern sollen.

(ds)

Zwischen 23:57 Uhr am 22. April und 01:30 Uhr am 23. April deutscher Zeit (17:57 Uhr bis 19:30 Uhr ET) wurde das npm-Paket @bitwarden/cli in der Version 2026.4.0 mit Schadcode ausgeliefert. Diese manipulierte Version stahl Zugangsdaten der Nutzer. Bitwarden betont allerdings, dass im eigentlichen Safe abgelegte Daten von Endnutzern (Vault-Data) nicht betroffen seien.

Wie Bitwarden in seinem Community-Forum mitteilte, habe das Sicherheitsteam das manipulierte Paket identifiziert und eingedämmt. Die Verteilung erfolgte demnach ausschließlich via NPM, wer das Paket in der fraglichen Zeit nicht via NPM bezogen habe, sei nicht betroffen. Die kompromittierte Version sei mittlerweile als deprecated markiert und der missbrauchte Zugang widerrufen worden. Der Vorfall ist Teil eines größeren Angriffs auf die Checkmarx-Lieferkette.

Raffinierter Credential-Stealer mit Fallback-Mechanismen

Sicherheitsforscher von JFrog und Socket.dev haben die Malware im Detail analysiert. Das manipulierte package.json enthielt ein preinstall-Skript, das automatisch beim Installieren eine Loader-Datei namens bw_setup.js ausführte. Diese lud die Bun-Runtime (Version 1.3.13) von GitHub herunter und startete ein obfuskiertes JavaScript-Payload (bw1.js).

Der Schadcode zielte auf ein breites Spektrum sensibler Daten: GitHub- und npm-Tokens, SSH-Schlüssel, Shell-Historien sowie Zugangsdaten für AWS, Google Cloud und Azure. Ferner wurden GitHub-Actions-Secrets, Git-Credentials, .env-Dateien und sogar Konfigurationsdateien von KI-Tools wie Claude und MCP ausgelesen und an die Angreifer geschickt.

Die Exfiltration erfolgte primär verschlüsselt an die Adresse audit.checkmarx.cx (IP: 94.154.172.43). Als Fallback nutzte die Malware einen raffinierten Mechanismus: Gestohlene GitHub-Tokens wurden validiert, um unter dem Konto des Opfers Repositories zur Datenexfiltration anzulegen. Double-Base64-kodierte PATs wurden dabei in Commit-Messages mit dem Marker „LongLiveTheResistanceAgainstMachines“ versteckt.

Sofortige Gegenmaßnahmen erforderlich

Wer die Version 2026.4.0 im genannten Zeitfenster installiert hat, sollte umgehend handeln. Bitwarden empfiehlt die Deinstallation mit npm uninstall -g @bitwarden/cli und das Leeren des npm-Cache. Auf betroffenen Systemen sollten Administratoren nach den Artefakten bw_setup.js, bw1.js sowie einer heruntergeladenen Bun-Runtime suchen.

Besonders wichtig ist die Rotation sämtlicher Zugangsdaten, die auf dem kompromittierten System gespeichert waren: GitHub Personal Access Tokens, npm-Tokens, AWS Access Keys, Azure- und GCP-Secrets sowie SSH-Schlüssel. Auch GitHub-Actions-Workflows sollten auf unautorisierte Ausführungen geprüft werden. Die Domain audit.checkmarx.cx und die IP 94.154.172.43 sollten in Firewalls blockiert werden.

Aktuell liefern alle Repositories wieder die reguläre Version 2026.3.0 aus. Diese und alle anderen Versionen der Bitwarden CLI außer 2026.4.0 sind laut Hersteller nicht betroffen. Produktionssysteme und Vault-Daten seien zu keinem Zeitpunkt kompromittiert worden.

(ju)

„Mit China in Verbindung stehende Akteure“ sollen ihre Taktik massiv verändert haben und zur Verschleierung nun primär auf kompromittierte Endgeräte nichtsahnender kleinerer Unternehmen und Heimanwender zugreifen. Darauf weisen Bundesnachrichtendienst (BND), Bundesamt für Verfassungsschutz (BfV), Bundesamt für Sicherheit in der Informationstechnologie (BSI) und internationale Partnerbehörden wie FBI, NSA und weitere Nachrichtendienste und Cybersicherheitsbehörden in einem koordinierten Warnhinweis hin. Federführend war erneut das National Cyber Security Centre des Vereinigten Königreichs (NCSC), das eine umfangreiche Meldung veröffentlichte.

Neukonfektionierung passend zu Angreifer und Ziel

„Jeder, der Ziel der chinaverbundenen Cyberakteure ist, kann von der Nutzung herkunftsverschleiernder Netzwerke betroffen sein“, heißt es in der NCSC-Mitteilung. Sowohl bei Angriffen der Gruppierung Volt Typhoon als auch von Flax Typhoon seien unterschiedliche derartige Netzwerke aufgefallen. Raptor Train sei 2024 mit einem Netzwerk von mehr als 200.000 kompromittierten Geräten aufgefallen, von Routern über IoT-Geräte wie etwa vernetzten Kameras über Videorecorder und Netzwerkspeicher oder Firewalls.

Neu ist den Empfehlungen nach offenbar, dass die Angreifer sich nicht immer der gleichen Wege zur Mitnutzung fremder Infrastrukturen bedienten, sondern für Kampagnen jeweils neue Verschleierungsnetze individuell für den Bedarf zusammenstellten. Die Sicherheitsbehörden, betont das Bundesamt für Verfassungsschutz, detektierten auch in Deutschland kompromittierte Endgeräte, wenn diese für Angriffe genutzt werden – allerdings eben auch erst dann.

Keine einzelne Möglichkeit zur Abwehr

Besonders unbefriedigend für möglicherweise Betroffene: Es gibt nicht den einen Fix für die Probleme, die sich durch die ungebetenen Mitnutzer im eigenen Netzwerk auftun – das NCSC empfiehlt vor allem Maßnahmen der Cybersicherheitshygiene wie das zügige Updaten von Geräten, das systematische Prüfen der Netzverkehre auf Auffälligkeiten und eine möglichst klare Netzwerksegmentierung.

(mho)