sp\u00e4ter ver\u00f6ffentlichte Versionen des Pakets auf npm gefunden<\/a>. Diese haben in der Datei dist\/index.js Schadcode eingef\u00fchrt, der in der Vorschau auf npm nicht auf Anhieb zu sehen und zudem mehrfach verschleiert war.<\/p>\nDer Code richtet einen verdeckten Kanal zur Kommunikation mit einem Command-and-Control-Server (C2) ein und installiert Module in einem Ordner namens .node_modules. Der Client schickt anschlie\u00dfend unter anderem eine ID und Informationen zum verwendeten Clientbetriebssystem an den Server.<\/p>\n
Der Remote-Access-Trojaner listet hilfreich folgende Funktionen auf:<\/p>\n
| Command | Purpose |
\n| ————— | ————————————————————- |
\n| cd | Change current working directory |
\n| ss_dir | Reset directory to script\u2019s path |
\n| ss_fcd: | Force change directory to |
\n| ss_upf:f,d | Upload single file f to destination d |
\n| ss_upd:d,dest | Upload all files under directory d to destination dest |
\n| ss_stop | Sets a stop flag to interrupt current upload process |
\n| Any other input | Treated as a shell command, executed via child_process.exec() |<\/p>\n
Windows bekommt einen vermeintlichen Python-Pfadeintrag als Extra<\/p>\n
Zus\u00e4tzlich legt das Initialisierungsskript unter Windows einen neuen Ordner an und f\u00fcgt ihn an den Start der Umgebungsvariablen PATH ein. Der Ordnername Python3127 soll suggerieren, dass es sich um einen offiziellen Ordner f\u00fcr die Programmiersprache handelt, und so Schadcode als vermeintliche Python-Tools erscheinen und sich wom\u00f6glich durch offizielle Python-Distributionen aufrufen lassen:<\/p>\n
const Y = path.join(
\n process.env.LOCALAPPDATA || path.join(os.homedir(), ‚AppData‘, ‚Local‘),
\n ‚Programs\\\\Python\\\\Python3127‘
\n)
\nenv.PATH = Y + ‚;‘ + process.env.PATH<\/p>\n
Die kompromittierten Pakete sind inzwischen wieder von npm entfernt worden. Sie trugen die Versionsnummern 2.083, 2.084 und 1.0.110. Wer in den vergangenen Monaten das Paket verwendet hat, sollte \u00fcberpr\u00fcfen, ob sich Schadcode auf dem Rechner befindet oder eine Kommunikation mit dem C2 stattgefunden hat. Folgende Adressen und Protkolle nutzt der Schadcode:<\/p>\n
| Usage | Endpoint | Protocol\/Method |
\n| —————— | ——————————- | ————————– |
\n| Socket Connection | http:\/\/85.239.62[.]36:3306 | socket.io-client |
\n| File Upload Target | http:\/\/85.239.62[.]36:27017\/u\/f | HTTP POST (multipart\/form) |<\/p>\n
Update<\/p>\n
09.05.2025,<\/p>\n
15:00<\/p>\n
Uhr<\/p>\n
Die Adressen f\u00fcr den Remote Access wurden erg\u00e4nzt.<\/p>\n
(rme<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"Auf npm sind kompromittierte Varianten des Pakets „rand-user-agent“ aufgetaucht, die einen Remote-Access-Trojaner (RAT) an Bord hatten. Der Random…\n","protected":false},"author":2,"featured_media":97675,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[135],"tags":[29,30,196,39447,39452,39453,39448,190,189,1687,39449,445,39450,194,191,39451,193,192],"class_list":{"0":"post-97674","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-wissenschaft-technik","8":"tag-deutschland","9":"tag-germany","10":"tag-it","11":"tag-javascript","12":"tag-npm","13":"tag-paketmanager","14":"tag-python","15":"tag-science","16":"tag-science-technology","17":"tag-security","18":"tag-software-supply-chain","19":"tag-softwareentwicklung","20":"tag-supply-chain-security","21":"tag-technik","22":"tag-technology","23":"tag-trojaner","24":"tag-wissenschaft","25":"tag-wissenschaft-technik"},"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@de\/114479463430410858","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/97674","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/comments?post=97674"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/97674\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media\/97675"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media?parent=97674"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/categories?post=97674"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/tags?post=97674"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}