Stealer-Backdoor in Node-IPC entdeckt – Developer-Secrets gefährdet
Cybersecurity-Researcher von Socket und StepSecurity haben Malware in drei Versionen des npm-Pakets node-ipc identifiziert – einer weit verbreiteten Bibliothek für Inter-Process Communication in Node.js-Projekten.
Betroffene Versionen
Follgende Versionen wurden als bösartig bestätigt:
- node-ipc@9.1.6
- node-ipc@9.2.3
- node-ipc@12.0.1
Was ist das Problem?
Die gefundene Malware funktioniert als Stealer-Backdoor – sie extrahiert sensible Daten aus Developer-Umgebungen. Konkret zielt die Malware auf Developer-Secrets, API-Keys und andere Credentials ab, die in typischen Entwicklungs-Setups vorhanden sind.
node-ipc wird häufig für lokale und remote Prozess-Kommunikation verwendet und hat daher Zugriff auf sensible System- und Projekt-Daten. Das macht die Bibliothek zu einem attraktiven Ziel für Supply-Chain-Angriffe.
Auswirkungen
Die Gefahr ist erheblich: Jede Anwendung oder Projekt, das eine der betroffenen Versionen als Abhängigkeit nutzt, wurde potenziell kompromittiert. Das kann:
- Credentials-Diebstahl bedeuten – API-Keys, GitHub-Token, Cloud-Credentials
- Supply-Chain-Risiken schaffen – kompromittierte Entwickler können kontaminierte Software released
- Produktionsumgebungen gefährden – wenn die Malware in Built Artifacts landet
Handlungsempfehlungen
Entwickler sollten sofort handeln:
- npm Audit durchführen – Überprüft auf die betroffenen Versionen
- Abhängigkeiten aktualisieren – node-ipc auf eine sichere Version upgraden
- Lock-Files prüfen – Stellen sicher, dass die malware Versionen nicht mehr genutzt werden
- Secrets rotieren – Alle potentiell exponierten API-Keys und Tokens erneuern
- Git-History prüfen – Überprüfung auf verdächtige Commits oder Pushes
- Dependencies auditen – Nicht nur node-ipc, sondern die gesamte Supply Chain überprüfen
Hintergrund
node-ipc ist seit Jahren ein beliebtes Paket mit Millionen wöchentlichen Downloads. Deshalb macht dieser Fund den Supply-Chain-Angriff besonders wirkungsvoll. Socket und StepSecurity haben die erkannten Malware-Signaturen bereits dokumentiert und npm wurde benachrichtigt.
Fazit
Dieser Vorfall unterstreicht wieder, dass npm-Abhängigkeiten regelmäßig überwacht werden müssen. Tools wie npm Audit, Dependabot oder Socket können verdächtige Pakete früher erkennen – sollten aber durch proaktive Prozesse ergänzt werden.