npm-Pakete von SAP kompromittiert
Sicherheitsforscher haben eine Supply-Chain-Attacke aufgedeckt, bei der mehrere npm-Pakete von SAP manipuliert wurden. Die Hackergruppe TeamPCP wird für die Attacke verantwortlich gemacht. Das ist besonders kritisch, da SAP-Software in Unternehmen weltweit verbreitet ist und manipulierte Dependencies große Schäden anrichten können.
Wie die Attacke funktionierte
Bei einer Supply-Chain-Attacke werden nicht direkt die Endanwender angegriffen, sondern die Softwarekette. Durch das Einschleusen von bösartigem Code in npm-Pakete – populäre JavaScript-Abhängigkeiten – können Angreifer tausende Entwickler und deren Systeme kompromittieren, die diese Pakete nutzen.
TeamPCP gelingt es dabei, in das Vertrauen zu gehen, das Entwickler in offizielle, etablierte Pakete setzen. npm ist das zentrale Repository für JavaScript-Dependencies – wer dort Pakete veröffentlicht, genießt hohes Vertrauen. Genau diese Vertrauenskette wurde ausgenutzt.
Risiken für Entwickler und Unternehmen
Development-Teams, die die manipulierten SAP-npm-Pakete installiert haben, riskieren:
- Kompromittierte Build-Prozesse: Bösartiger Code kann in der Entwicklungsumgebung ausgeführt werden
- Datendiebstahl: Kredenziale, API-Keys oder interne Daten könnten abgegriffen werden
- Infizierte Produkte: Der Schadcode könnte in produktive Anwendungen gelangen
- Laterale Bewegung: Von der Dev-Umgebung aus können Angreifer tiefer ins Netzwerk eindringen
Was jetzt zu tun ist
Entwickler sollten sofort ihre npm-Abhängigkeiten überprüfen – besonders SAP-Pakete. Tools wie npm audit zeigen bekannte Sicherheitslücken an. Betroffene Pakete sollten auf sichere Versionen aktualisiert werden.
Es ist ratsam, die Integrity und Authentizität von npm-Paketen zu verifizieren, zum Beispiel über Checksums oder signierte Releases. Größere Organisationen sollten npm-Registry-Zugriffe kontrollen und Dependency-Updates im internen Prozess reviewen.
Wachsendes Problem
Supply-Chain-Attacken über Package-Manager werden immer häufiger – ob npm, PyPI oder Maven. Die Anzahl der registrierten Pakete wächst, aber die Überprüfung bleibt oft oberflächlich. TeamPCP nutzt diese Lücke strategisch aus.
Die Attacke zeigt: Vertrauen in große Namen ist wichtig, muss aber durch technische Kontrollen abgesichert werden.