AsyncAPI-npm-Lieferkettenkompromittierung verbreitet Malware über vertrauenswürdige Pakete

Angreifer kompromittierten die AsyncAPI-npm-Organisation und schleusten bösartigen Code in mehrere weit verbreitete Pakete ein, darunter die Pakete generator und specs mit mehr als zwei Millionen wöchentlichen Downloads. Die Malware wurde über einen kompromittierten GitHub-Actions-Workflow ausgeliefert und bei der Installation ausgeführt, wodurch ein routinemäßiges Abhängigkeits-Update zu einem Infektionspfad wurde. Microsoft und andere Forscher sagten, die Nutzlast könne Browser-Zugangsdaten, SSH-Schlüssel, npm-Tokens, AWS-Geheimnisse und Krypto-Wallets stehlen und außerdem RAT-ähnliche Funktionen bereitstellen. Der Vorfall ist besonders schwerwiegend, weil Paketnutzer Veröffentlichungen im offiziellen Namespace oft vertrauen und sie automatisch in Build-Systeme und Entwicklerrechner einbinden. Das ist für die Sicherheit der Software-Lieferkette relevant, weil der Angriff traditionelle Perimeter-Verteidigungen umging und das Vertrauen in CI/CD ausnutzte. Er zeigt auch, wie eine einzige kompromittierte Automatisierungspipeline enorme Zahlen nachgelagerter Nutzer betreffen kann.

Quellen

• AsyncAPI npm-Lieferkettenangriff: Malware in Pakete mit 2 Millionen wöchentlichen Downloads eingeschleust — Security Affairs
• Aufschlüsselung der AsyncAPI-npm-Lieferkettenkompromittierung und der Payload-Zustellung zur Importzeit — Microsoft Security Blog
• AsyncAPI-npm-Pakete mit Anmeldedaten stehlender Malware infiziert — Lifeboat — Cyberkriminalität & Schadcode
• @asyncapi/specs (2,7 Mio. wöchentliche Downloads) wurde heute über einen bösartigen CI-Commit kompromittiert — /r/cybersecurity

Aktualisierung: 19/07/2026

• Offizielles jscrambler-npm-Paket kompromittiert: bösartige Versionen 8.14, 8.16, 8.17 und 8.20
• Bedrohungsakteur gab sich auf GitHub als Hunderte von Marken aus, um Infostealer-Malware zu verbreiten