npm-Malware stiehlt Chrome-Erweiterungsdaten aus 13 Paketen

Eine neue Charge von npm-Malware, insgesamt 13 Pakete, wird eingesetzt, um einen bisher undokumentierten JavaScript-Stealer zu verbreiten, den die Forschungsgruppe OpenSourceMalware WeaselBiscuit getauft hat. npm ist die öffentliche Paketregistrierung, die JavaScript- und Node.js-Entwickler nutzen, um fertige Codebibliotheken in ihre Projekte zu holen, und jeder, der eines der betroffenen Pakete installiert, führt den Code der Angreifer auf seinem eigenen Computer aus.

Die 13 von OpenSourceMalware gemeldeten Paketnamen sind @biz44/id10-client, @biz44/id12-client, @biz44/id44-client, @biz44/id79-client, @biz44/id95-client, @biz44/id99-client, @biz44/process-runtime-utils, @biz44/runtime-utils, engin1, id79-client, process-lhpm, process-mite und process-tailwind. Dies ist ein Supply-Chain-Angriff im einfachsten Sinne: Nichts muss gehackt werden, weil der bösartige Code in einer Bibliothek steckt, die ein Entwickler herunterlädt, und dann mit den eigenen Berechtigungen des Entwicklers ausgeführt wird.

Die Kette beginnt mit einer einzigen Import-Anweisung. Fügt man eines dieser Pakete einem Projekt hinzu und importiert es, wird eine Loader-Datei, loader.js, ausgeführt. Dieser Loader holt die Hauptmalware von einem Dead Drop, der auf Npoint gehostet wird, einem leichten Online-Dienst zum Speichern von JSON-Daten, und führt sie direkt im Speicher aus, anstatt sie auf der Festplatte zu speichern. Die Ausführung im Speicher macht den Code mit gewöhnlichen Dateiscans schwerer zu entdecken. Einmal aktiv, löst das Programm seine Command-and-Control-Konfiguration (C2) von einer zweiten Npoint-URL auf. Ein C2-Server ist eine entfernte Maschine, die Malware kontaktiert, um Befehle zu erhalten. Der Stealer erstellt dann ein Profil des infizierten Hosts, sammelt Details über die Maschine und erntet den Speicher von Chrome-Erweiterungen unter Windows, macOS und Linux.

Der Chrome-Erweiterungsspeicher ist der private Datenbereich, in dem Browser-Add-ons ihre Einstellungen und ihren gespeicherten Zustand aufbewahren, einschließlich aller Anmeldedaten oder Wallet-Informationen, die ein bestimmtes Add-on enthält. Paul McCarty, der Sicherheitsforscher auch bekannt als 6mile, erklärte, dass selbst ohne die Kryptowährungs-Diebstahlswerkzeuge, die in den größeren Verwandten der Malware zu finden sind, diese Fähigkeit einen echten finanziellen Wert hat, weil sie den gespeicherten Zustand einer Wallet-Erweiterung oder andere sensible, von einem Add-on gespeicherte Daten offenlegen kann. Er beschrieb es als das Hochladen jeder lesbaren, nicht leeren Datei unter dem Local Extension Settings-Verzeichnis der Erweiterung, das ein roher LevelDB-Schlüssel-Wert-Speicher ist, in einem Durchgang. Je nach den Befehlen, die die Operatoren vom C2-Server unter 103.170.217[.]184:8787 senden, kann die Malware auch Zwischenablage-Inhalte und Tastatureingaben auf Windows-Maschinen aufzeichnen.

Was den Forschern auffällt, ist, wie wenig WeaselBiscuit tut. Es hat keine Fernzugriffsfunktion, keinen Persistenzmechanismus, um einen Neustart zu überleben, keinen Code zum Leeren von Kryptowährungs-Wallets und keine Fähigkeit, Folge-Payloads wie InvisibleFerret zu liefern, die zusätzlichen Werkzeuge, die einige Stealer nach der ersten Stufe auf einer Maschine abwerfen. McCarty beschrieb es als kleiner, leichter und abgespeckt im Vergleich zu seinen Verwandten, wobei viele der schwereren Funktionen vollständig entfernt wurden. Jenn Gile, Mitbegründerin von OpenSourceMalware, sagte in einer Erklärung, dass der Code mehrere Funktionen von zwei bekannten Malware-Familien ausleiht, aber viel kleiner und in sich geschlossen ist, und dass daher der Name stammt, da ein Wiesel kleiner als ein Otter und Kekse weniger vornehm als Cookies sind.

Die beiden Familien, von denen es ausleiht, sind BeaverTail und OtterCookie, beide mit der Contagious-Interview-Kampagne verbunden, die OpenSourceMalware mit der Demokratischen Volksrepublik Korea in Verbindung bringt. BeaverTail ist der Name für eine plattformübergreifende Informationsdiebstahl-Malware und einen Downloader, die mindestens seit Ende 2022 gegen Softwareentwickler, IT-Fachleute und Kryptowährungsnutzer eingesetzt wird. OtterCookie kombiniert Informationsdiebstahl mit Fernzugriff, sodass seine Operatoren Befehle auf einer infizierten Maschine ausführen können, und wurde erstmals im Dezember 2024 von NTT Security Holdings öffentlich dokumentiert.

Trotz der klaren Überschneidung mit diesen Werkzeugen hat OpenSourceMalware betont, dass nichts in den bisherigen Beweisen die Frage klärt, wer hinter WeaselBiscuit steckt. Mit ihren Worten gibt es keinen definitiven Beweis in der Operator-Infrastruktur, der Opfertypologie, den Kampagnen-Metadaten oder dem Signaturmaterial, der die Malware abschließend Nordkorea zuordnen würde. Diese Unterscheidung ist wichtig: Funktionale Ähnlichkeit zwischen zwei Code-Stücken kann von gemeinsamem Quellcode, kopiertem Code oder einer bewussten Nachahmung stammen, und das ist nicht dasselbe wie ein Autorennachweis.

Die Forscher weisen auf mehrere Tradecraft-Signale hin, die ins gleiche Bild passen würden. Die Nutzung von Npoint.io wurde im November 2025 von NVISO im Zusammenhang mit Contagious-Interview-Aktivitäten gemeldet. Die Malware führt verschachtelte Abfragen öffentlicher IP-Adressen und Geolokalisierung über api.ipify.org und ip-api.com durch. Ihre C2-Architektur ähnelt der von OtterCookie. Und jede Installation ist mit einer numerischen Kampagnen-ID aus der Menge 10, 12, 44, 79, 95 und 99 gekennzeichnet, was ein Muster widerspiegelt, das bei PolinRider beobachtet wurde. Dies sind dieselben Zahlen, die in mehreren der Paketnamen eingebettet sind.

Wenn WeaselBiscuit schließlich als Teil dieses Arsenals bestätigt wird, wäre es nicht der erste Versuch, Funktionen der beiden älteren Familien zu verschmelzen. Im Oktober 2025 sagte Cisco Talos, es habe ein npm-Paket namens node-nvm-ssh identifiziert, das Merkmale sowohl von BeaverTail als auch von OtterCookie trug und die Grenze zwischen ihnen verwischte.

Für Website-Besitzer, Agenturen und IT-Teams geht es bei der praktischen Lektion darum, woher Code kommt. Build-Tools, Themes, Plugins und interne Skripte ziehen routinemäßig Pakete aus öffentlichen Registrierungen ein, und jedes Paket ist Code, der auf dem Laptop eines Entwicklers, einem Build-Server oder einem Hosting-Konto mit dem jeweiligen Zugriff dieses Kontos läuft. Ein Stealer, der Browser-Add-on-Daten liest, ist auch eine Erinnerung daran, wie viel sensibles Material auf gewöhnlichen Arbeitsstationen statt in einem zentralen, überwachten System liegt. Teams, die Hilfe bei der Überprüfung benötigen, wie Software auf ihre Maschinen und Server gelangt und wie ihre Entwicklungspipeline eingerichtet ist, können sich AEU-I ansehen, das Security-First-IT, Infrastruktur und Beratung bietet. Die Details dieses Dienstes sind unter aeu-i.com veröffentlicht.

Der Vorfall steht nicht im Zusammenhang mit einem Fehler in Chrome selbst und beinhaltet keinen Bug, den ein Anbieter auf die übliche Weise patchen kann. Das Risiko wird beseitigt, indem man die betroffenen Pakete nicht installiert und sie dort entfernt, wo sie bereits vorhanden sind, weshalb OpenSourceMalware die vollständige Liste der Namen veröffentlicht hat und nicht nur eine Beschreibung der Malware.