Postmark MCP-npm-Paket stahl Benutzer-E-Mails

Sicherheitsforscher entdeckten, dass das Postmark MCP-npm-Paket heimlich die E-Mails von Benutzern stahl. Die bösartige Bibliothek gab sich als inoffizielle Integration mit dem E-Mail-Dienst Postmark aus. Ihr versteckter Code sammelte sensible Daten und setzte sowohl Entwickler als auch Organisationen Risiken aus.

So funktionierte das bösartige Paket

Das npm-Paket schien Unterstützung für das Mailchain Client Protocol (MCP) in Postmark zu bieten. In Wirklichkeit exfiltrierte der Code sämtliche E-Mail-Inhalte, die Entwickler darüber verarbeiteten. Angreifer erhielten Kopien von Betreffzeilen, Nachrichtentexten und Metadaten – ohne Wissen der Benutzer.

Das bösartige Paket wurde mehrfach heruntergeladen, bevor Forscher Alarm schlugen. Seine Aktivität zeigt die Risiken, die entstehen, wenn man sich auf nicht verifizierte Drittanbieter-Bibliotheken aus öffentlichen Repositories verlässt.

Risiken für Entwickler

E-Mails enthalten häufig sensible Informationen, darunter Anmeldelinks, Rechnungen und persönliche Daten. Durch den Diebstahl dieser Inhalte konnten Angreifer Zugang zu Konten erhalten oder wertvolle Geschäftsinformationen sammeln.

Alle Projekte, die das Postmark MCP-npm-Paket integrierten, könnten private Daten an unbekannte Angreifer offengelegt haben. Dies schafft zudem Compliance-Probleme für Unternehmen, die regulierte Informationen verarbeiten.

Entdeckung und Entfernung

Forscher meldeten die bösartige Aktivität an npm, das das Paket umgehend entfernte. Entwickler, die Postmark nutzen, wurden aufgefordert, ihre Projekte zu überprüfen und sicherzustellen, dass nur offizielle Bibliotheken im Einsatz sind.

Der Vorfall verdeutlicht, wie Angreifer das Open-Source-Ökosystem ins Visier nehmen. Indem sie Schadsoftware als nützlichen Code tarnen, erreichen sie Entwickler, die npm als verlässliche Ressource betrachten.

Lehren für die Open-Source-Community

Der Fall Postmark MCP-npm zeigt das anhaltende Risiko von Supply-Chain-Angriffen. Entwickler müssen die Herkunft von Bibliotheken verifizieren und auf verdächtige Updates achten. Sicherheitsteams sollten zudem den Datenverkehr überwachen, um versteckte Exfiltration zu erkennen.

Organisationen, die auf npm angewiesen sind, brauchen klare Richtlinien für die Paketfreigabe. Ein sorgfältiger Prüfprozess kann künftige Kompromittierungen durch bösartige Uploads verhindern.

Fazit

Der Vorfall mit Postmark MCP-npm macht die Gefahren von nicht verifiziertem Code in Open-Source-Repositories deutlich. Ein einziges bösartiges Paket legte sensible Benutzerdaten offen und schwächte das Vertrauen in die Lieferkette. Entwickler und Unternehmen müssen wachsam bleiben und sicherstellen, dass nur legitime und sichere Bibliotheken ihre Anwendungen unterstützen.