Die Kompromittierung der weit verbreiteten JavaScript-Bibliothek Axios war kein simpler Credential-Stuffing-Versuch, sondern das Resultat einer hochgradig zielgerichteten Social-Engineering-Kampagne nordkoreanischer Bedrohungsakteure. Wie Maintainer Jason Saayman nun in einem Post-Mortem bestätigte, fiel er einer professionell getarnten Operation der Gruppe UNC1069 (auch bekannt als BlueNoroff) zum Opfer. Dieser Vorfall markiert einen beunruhigenden Wendepunkt: Open-Source-Maintainer sind nicht mehr nur zufällige Opfer, sondern gezielte Angriffsvektoren für massive Supply-Chain-Attacken.
Der Angriff im Detail: Ein Meisterstück der Täuschung
Die Täter gingen extrem subtil vor und investierten erheblichen Aufwand in die Vorbereitung. Sie kontaktierten Saayman unter der falschen Identität eines bekannten Unternehmensgründers. Sogar das Unternehmen selbst wurde komplett geklont. Die Kommunikation verlagerten sie in einen echten, professionell eingerichteten Slack-Workspace, der inklusive CI/CD-Branding und echten LinkedIn-Posts absolut authentisch wirkte.
Der eigentliche Schlag erfolgte während eines Microsoft-Teams-Meetings: Kurz nach dem Betreten des Calls erschien eine Fehlermeldung, die suggerierte, Saaymans System sei veraltet und ein Update des Teams SDK sei nötig. Das Ausführen des vermeintlichen Updates lud einen Remote Access Trojan (RAT) herunter. Mit den so gestohlenen npm-Credentials veröffentlichten die Angreifer die trojanisierten Axios-Versionen 1.14.1 und 0.30.4, die das C++-Implant WAVESHAPER.V2 enthielten.
„Alles war extrem gut koordiniert, sah legitim aus und wurde auf professionelle Weise durchgeführt", resümierte Saayman.
Eine koordinierte Offensive gegen das Node.js-Ökosystem
Doch Axios war nur ein Baustein einer weitaus größeren, koordinierten Offensive. Wie das Sicherheitsunternehmen Socket in einer Folgeanalyse aufdeckte, meldeten sich weitere hochkarätige Maintainer aus dem Node.js-Ökosystem, die ähnliche Angriffe erlebten. Betroffen waren unter anderem Jordan Harband (ECMAScript-Polyfills), John-David Dalton (Lodash), Matteo Collina (Fastify), Scott Motte (dotenv) sowie Pelle Wessman (mocha) und Jean Burellier (Node.js Core, Express).
Die Taktiken variierten leicht, folgten aber demselben Muster: Vertrauensaufbau über Wochen, Einladung zu einem Video-Call und dann der Fake-Audio-Fehler, der zur Installation eines „Fixes" animieren soll. Bei Pelle Wessman wurde eine gefälschte Podcast-Plattform (Streamyard) genutzt. Als er die Installation verweigerte, versuchten die Angreifer, ihn per curl-Befehl im Terminal zu kompromittieren – erfolglos. Auch Jean Burellier durchschaute den Trick bei einem gefälschten Teams-Update und wurde daraufhin sofort aus den Slack-Workspaces entfernt, sämtliche Chatverläufe wurden gelöscht.
Der Paradigmenwechsel: Krypto-Gründer waren gestern, Maintainer sind heute
Hier zeigt sich eine bedrohliche Evolution. „Historisch gesehen haben diese Leute Krypto-Gründer und VCs ins Visier genommen", erklärt Sicherheitsforscher Taylor Monahan. Die Verschiebung hin zu Open-Source-Maintainern ist logisch, aber fatal. Ein kompromittierter Krypto-Gründer betrifft meist ein einzelnes Unternehmen; ein kompromittierter OSS-Maintainer betrifft Millionen Entwickler.
Bei Axios sind es rund 100 Millionen wöchentliche Downloads. Der „Blast Radius" ist gigantisch, da sich vergiftete Pakete rasend schnell über direkte und transitive Abhängigkeiten ausbreiten. „Ein Paket, das so weit verbreitet ist wie Axios, zeigt, wie schwer es ist, die eigene Exposure in einer modernen JavaScript-Umgebung zu überblicken", stellt Socket-Entwickler Ahmad Nassri fest. Es liege schlicht in der Natur, wie Dependency Resolution in diesem Ökosystem funktioniert.
Wenn der Endpunkt fällt, nützt OIDC nichts mehr
Die technische Infrastruktur der Angriffe nutzt eine ClickFix-ähnliche Methode, die Opfer zur Ausführung von AppleScript (macOS) oder PowerShell (Windows) verleitet. Die eingesetzten Backdoors wie CosmicDoor und die Stealer-Suite SilentSiphon sind darauf programmiert, nicht nur Browser-Zugangsdaten zu stehlen, sondern gezielt Secrets von GitHub, GitLab, npm, AWS, Python pip, RubyGems und NuGet zu exfiltrieren. Nach der Mandiant-Analyse dient WAVESHAPER oft als Brücke für weitere Malware wie HYPERCALL, SUGARLOADER oder CHROMEPUSH.
Sobald der Rechner des Maintainers kompromittiert ist, wird jede Sicherheitsschicht auf Serverseite obsolet. „2FA spielt keine Rolle mehr. OIDC-Publishing spielt keine Rolle mehr. Game Over", bringt es Socket-CEO Feross Aboukhadijeh auf den Punkt. Wenn der Angreifer die .npmrc-Tokens direkt aus dem Speicher oder dem Keychain stiehlt, sind alle Türsteher auf Serverseite wirkungslos.
Konsequenzen und Wehrhaftigkeit
Saayman hat aus dem Vorfall Konsequenzen gezogen: Neben dem Zurücksetzen aller Geräte und Credentials setzt das Axios-Projekt nun auf immutable Releases, OIDC-Flows für Veröffentlichungen und aktualisierte GitHub Actions.
Die eigentliche Lektion des Vorfalls liegt jedoch tiefer. Die moderne Software-Entwicklung baut auf einem Fundament des Vertrauens auf. Dass staatlich unterstützte Akteure nun die menschliche Schwachstelle – den Maintainer – mit dem Aufwand eines Geheimdienstes angreifen, zwingt das Ökosystem zu einem Umdenken. Die Abwehr solcher Angriffe lässt sich nicht allein durch CI/CD-Pipeline-Regeln lösen. Es erfordert ein Umdenken bei den Maintainern selbst, deren private Arbeitsrechner de facto Hochsicherheitszonen darstellen. Wenn der Mensch das neue Einfallstor ist, muss die Verteidigung bei der Awareness beginnen – und nicht erst beim Code.
Quelle: The Hacker News
