npm malware stiehlt Daten und leitet AI agent traffic um
Über einen gefälschten Web3-Accelerator verbreitete npm malware zielte auf Kryptowährungs-Start-ups und lockte mit angeblichen Guthaben für künstliche Intelligenz (AI), Unterstützung beim Programmieren und Sicherheitsaudits. Elastic Security Labs berichtet, dass die als REF8801 verfolgte Operation mehrere Instanzen von information stealer, die private Daten sammeln, sowie backdoor-Komponenten, die versteckten Fernzugriff ermöglichen, auf Windows- und macOS-Systeme brachte. Außerdem veränderte sie einen legitimen Coding-Agent so, dass Modellanfragen über eine von den Angreifern kontrollierte Infrastruktur liefen.
Die Operation präsentierte sich als Apex Accelerator, ein Venture-Capital-Accelerator für auf Blockchain ausgerichtete Web3-Projekte. Über npm, ein weitverbreitetes Ökosystem zur Verteilung von Softwarekomponenten, wurden zwei Pakete veröffentlicht: @apexacc/cli, beschrieben als AI-Berater für Web3-Gründer, und @apexacc/audit, beworben als Web3-Sicherheitsscanner mit 18 Tools für eigene Recherchen und Smart-Contract-Audits. Beide zielten auf Windows und macOS. Die Pakete und die zugehörigen GitHub-Repositories sind nicht mehr zugänglich.
Das erste Paket gab vor, Claude Fable 5 und Gemini 2.5 Flash zu verwenden. Das zweite behauptete, ein Model Context Protocol (MCP) server zu sein, also Software, die AI agents mit externen Tools und Daten verbindet, um Tokens, Wallets und Smart Contracts zu untersuchen. Beide wurden über das npm-Konto apexaccelerator veröffentlicht, das mit dem GitHub-Konto apexaccs und einer Organisation namens Apex Foundation verbunden war. Elastic fand russischsprachige Kommentare in der Commit-Historie, erklärte jedoch, diese Belege reichten nicht aus, um die Betreiber zu identifizieren oder ihre Herkunft zu bestimmen.
Die Kampagne war bereits vor den jüngsten Erkenntnissen über andere Pakete aktiv. SafeDep berichtete Ende Juli 2026, dass @apexfdn/apex, @copilot-mcp/apex und @apexfdn/copilot-mcp mit derselben Aktivität in Verbindung standen und unter macOS die malware-Familie Atomic Stealer, auch als AMOS bekannt, verbreiteten. Socket-Artefakte brachten die angebliche Stiftung mindestens seit April 2026 mit apexaccs[.]org und apexfdn[.]xyz in Verbindung. Ein Snapshot des Internet Archive vom 19. März 2026 zeigte die Behauptung, die Organisation biete Investitionen, Fördermittel und Partnerschaften im Wert von 235.000 US-Dollar sowie Kontakte zu Investoren an.
Beiträge auf X zeigten, wie die Operation Entwickler von Kryptowährungs-Wallets und Marktanalyseprodukten mit Investitionsangeboten kontaktierte und sie anschließend anwies, ihr Due-Diligence-Paket auszuführen. In einer Angriffskette legte @apexacc/cli einen verschlüsselten loader ab, der als Apple-Anwendung namens com.apple.system.loader getarnt war. Elastic erklärte außerdem, die Gruppe habe versucht, durch Auftritte bei TOKEN2049 in Singapur und anderen Präsenzveranstaltungen Glaubwürdigkeit aufzubauen.
Keines der neueren Pakete stellte nach der Installation die beworbene Funktion bereit. Das Audit-Paket erzeugte erfundene Sicherheitsergebnisse, während das Kommandozeilenpaket eine nicht nachvollziehbare Bewertung für ein fiktives Projekt ausgab. Beide kontaktierten vrf.apexaccs[.]org/api/v1/vrf mit einer Plattformkennung für Windows oder macOS und riefen den entsprechenden payload aus auf GitHub gehosteten Projekt-Release-Dateien ab.
Unter Windows erhielt das Paket einen Base64-codierten PowerShell-Befehl, der 0auth-chromium[.]com/APIService kontaktierte, um ein zweites script namens drop.ps1 abzurufen. Dieses script lud bludness.exe von ehegisnightmare[.]icu herunter und startete die Datei in einem ausgeblendeten Fenster. Das Executable wurde mit PyInstaller erstellt, einem Tool, das Python-Programme zu eigenständig ausführbaren Anwendungen bündelt. Wenn es bereits über Administratorzugriff verfügte, lud es eine weitere Datei als %TEMP%\exegis.exe herunter. Andernfalls versuchte es, User Account Control (UAC), den Windows-Mechanismus zur Bestätigung erhöhter Berechtigungen, mithilfe von UACMEs ucmDebugObjectMethod() zu umgehen.
Die Stufe exegis.exe sammelte Systemdetails und Informationen zu laufenden Prozessen, suchte nach Anzeichen für eine virtuelle Maschine und entpackte updater_loader.exe. Anschließend griff ein Golang-Executable, also ein in der Programmiersprache Go erstelltes Programm, in das Antimalware Scan Interface und Event Tracing for Windows ein. Diese Mechanismen werden zur Prüfung von scripts und zur Aufzeichnung von Systemaktivitäten verwendet. Zudem stellte es eine saubere Kopie von ntdll.dll wieder her, um der Überwachung zu entgehen, bevor es shellcode ausführte, also kompakte Anweisungen, die direkt im Arbeitsspeicher ausgeführt werden.
Der abschließende Windows-information stealer prüfte, ob bereits eine frühere Infektion vorlag, und sammelte Systemdaten, Inhalte der Zwischenablage, laufende Prozesse, Namen von WLAN-Profilen und Screenshots. Er zielte außerdem auf Kryptowährungs-Wallets, Browser-Erweiterungen, Messaging-Software, Anwendungen für Fernzugriff und Dateiübertragung, VPN-Clients, Spiele-Clients sowie Daten aus Google Chrome, Microsoft Edge, Mozilla Firefox und Yandex. Elastic berichtet, dass er Chrome's app-bound encryption (ABE), einen Schutz für lokal gespeicherte Browser-Geheimnisse, umgehen konnte, um Passwörter, Session-Cookies, den Browserverlauf, Download-Aufzeichnungen und Profilmetadaten zu erhalten. Die gestohlenen Informationen wurden über Telegram versendet.
Unter macOS lud das Paket ein remote shell script herunter und führte es aus. Dieses script rief ein GZIP-komprimiertes Archiv von verify.apexfdn[.]xyz/unix/ ab, speicherte es vorübergehend als package.tar.gz und extrahierte einen CloudSyncD dropper. CloudSyncD zeigte eine gefälschte Autorisierungsanfrage an, um das Systempasswort des Benutzers zu erhalten, und verwendete dieses Passwort anschließend, um einen eingebetteten payload mit sudo-Administratorrechten auszuführen. Die malware untersuchte den Host, sammelte Informationen über Hardware und Betriebssystem und kontaktierte ccmihr[.]com, um die Daten zu senden und Anweisungen zum Herunterladen und Ausführen weiterer payloads zu erhalten.
Jamf Threat Labs dokumentierte CloudSyncD erstmals Ende des Vormonats, nachdem das Unternehmen dessen Verbreitung über ein gefälschtes Zoom-Installationsprogramm entdeckt hatte. Die malware war Mitte September 2026 erstmals in freier Wildbahn erkannt worden. Jamf beschrieb sie als Teil einer Entwicklung hin zu nativem macOS-Code, geschützten Zeichenfolgen und Ausführungspfaden, die vermeiden sollen, payloads auf dem Datenträger abzulegen, während die Angreifer weiterhin darauf angewiesen sind, dass Benutzer ihre Passwörter in irreführende Eingabeaufforderungen eingeben.
Die Pakete veränderten außerdem die Konfigurationen von AI agents. Elastic stellte fest, dass sie OpenRouter-large language model (LLM)-Traffic abfangen und umleiten konnten, also Anfragen an Systeme, die Sprache verarbeiten und erzeugen, und einen von den Angreifern kontrollierten MCP server registrieren konnten. Durch diese Konfiguration könnten Prompts, Gesprächsverläufe, Quellcode und Tool-Ausgaben offengelegt werden, die in Modellanfragen enthalten sind. Der schädliche server könnte außerdem Anweisungen und Tool-Beschreibungen zum Prompt eines AI agent hinzufügen und dadurch möglicherweise beeinflussen, welche Tools der AI agent auswählt und wie er sie verwendet.
Für Websitebetreiber und IT-Teams zeigt der Vorfall, dass ein scheinbar professioneller Investitions- oder Audit-Prozess zu einer software supply-chain attack werden kann, wenn Empfänger zur Installation nicht verifizierter Entwicklerpakete aufgefordert werden. Organisationen sollten unaufgefordert zugesandte Due-Diligence-Tools als ausführbare Software behandeln, den Herausgeber unabhängig überprüfen und die Einstellungen von AI agents auf unbekannte server oder API-Ziele untersuchen. Unternehmen, die bei diesen Aufgaben Unterstützung benötigen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen.
Auch verfügbar in: English