Hacker nutzen npm-Mirrors zum Hosten von Phishing-Weiterleitungsseiten

Forscher haben eine Phishing-Technik über npm-Mirrors identifiziert, bei der Paketregister und öffentliche Mirrors genutzt werden, um bösartige Weiterleitungsseiten zu hosten.

Anstatt Entwickler zu infizieren, die ein Paket herunterladen, speichern Angreifer schädliche HTML-Dateien innerhalb von npm-Paketen. Mirror-Dienste kopieren diese Dateien anschließend und stellen sie über vertrauenswürdige entwicklerbezogene Domains zur Verfügung.

Dieser Ansatz kann Phishing-Seiten glaubwürdiger erscheinen lassen und Angreifern dabei helfen, Sicherheitsfilter zu umgehen, die verdächtige Websites blockieren.

Angreifer nutzen npm-Pakete als kostenloses Webhosting

Der Sicherheitsforscher inf0stache entdeckte die Technik erstmals im Juli. Später fand OX Security 24 npm-Pakete, die ähnliche bösartige HTML-Seiten enthielten.

Die Pakete installieren keine Malware und stehlen keine Daten direkt vom Computer eines Entwicklers. Stattdessen nutzen die Angreifer das npm-Register als Speicherplatz für Dateien, die Browser über Dienste wie UNPKG und npmmirror laden können.

Wenn ein Besucher eine dieser HTML-Dateien über einen Mirror öffnet, zeigt der Browser sie unter der legitimen Domain des Mirrors an.

Gefälschte Verifizierungsseiten leiten Besucher weiter

Die bösartigen Seiten imitieren Cloudflare-Verifizierungsseiten und enthalten den echten CAPTCHA-Dienst Cloudflare Turnstile.

Die Seite führt jedoch versteckten JavaScript-Code aus, unabhängig davon, ob der Besucher die Verifizierung abschließt. Dieser Code leitet den Besucher anschließend zu einem vom Angreifer ausgewählten Ziel weiter.

Angreifer können diese npm-Mirror-Phishing-Methode nutzen, um Opfer auf Seiten zum Diebstahl von Zugangsdaten, Malware-Downloads oder andere schädliche Websites weiterzuleiten.

Fernsteuerung ermöglicht Angreifern das Ändern von Zielen

Einige neuere Pakete verwenden einen legitimen Key-Value-Speicherdienst, um eine verschlüsselte Weiterleitungsadresse abzurufen.

Die Seite entschlüsselt die Adresse im Browser des Besuchers und leitet die Person zu diesem Ziel weiter. Dadurch können Angreifer die endgültige Website ändern, ohne das npm-Paket zu verändern oder erneut zu veröffentlichen.

Bei Tests stellten die Forscher fest, dass einige Weiterleitungen zu legitimen Websites führten. Die Angreifer könnten das Ziel jedoch jederzeit ändern und Nutzer stattdessen auf eine Phishing-Seite weiterleiten.

Mirrors können entfernte Pakete weiterhin speichern

OX Security warnt davor, dass npm-Mirrors Paketdateien möglicherweise weiterhin bereitstellen, nachdem npm ein Paket aus dem offiziellen Register entfernt hat.

Dies kann die Lebensdauer bösartiger Seiten verlängern und deren Entfernung erschweren.

Nutzer sollten direkte Links zu HTML-Dateien auf npm-Mirror-Domains mit Vorsicht behandeln. Eine vertrauenswürdige Hosting-Domain garantiert nicht, dass jede dort bereitgestellte Seite sicher ist.