- Cybersecurity-Forscher haben eine Reihe von sieben npm-Paketen enthüllt, die von einem einzigen Bedrohungsakteur über einen Tarnservice namens Adspect veröffentlicht wurden.
- Adspect wirbt für einen cloudbasierten Dienst, der Werbekampagnen vor unerwünschtem Traffic schützen soll, darunter Klickbetrug und Bots von Antivirenunternehmen.
- Sechs npm-Pakete enthalten 39 kB große Malware, die sich selbst verbirgt und eine Kopie des Systemfingerabdrucks erstellt.
Cybersicherheitsforscher haben eine Reihe von sieben npm-Paketen enthüllt, die von einem einzelnen Bedrohungsschauspieler veröffentlicht wurden. Diese Pakete nutzen einen Cloaking-Dienst namens Adspect, um zwischen echten Opfern und Sicherheitsforschern zu unterscheiden, und leiten sie letztendlich zu unseriösen, krypto-thematischen Seiten weiter.
Die bösartigen npm-Pakete wurden von einem Bedrohungsschauspieler namens „dino_reborn“ zwischen September und November 2025 veröffentlicht. Die Pakete umfassen signals-embed (342 Downloads), dsidospsodlks (184 Downloads), applicationooks21 (340 Downloads), application-phskck (199 Downloads), integrator-filescrypt2025 (199 Downloads), integrator-2829 (276 Downloads) und integrator-2830 (290 Downloads).
Adspect gibt sich als cloudbasierter Dienst aus, der Werbekampagnen schützt
Laut seiner Website wirbt Adspect für einen cloudbasierten Dienst, der darauf ausgelegt ist, Werbekampagnen vor unerwünschtem Traffic, einschließlich Klickbetrug und Bots von Antivirenunternehmen, zu schützen. Es wird auch behauptet, „kugelsicheres Cloaking“ anzubieten und „jedes einzelne Werbenetzwerk zuverlässig zu verschleiern.“
Es bietet drei Pläne an: Ant-Fraud, Personal und Professional, die 299, 499 bzw. 999 US-Dollar pro Monat kosten. Das Unternehmen behauptet auch, dass Benutzer „alles, was Sie wollen“, werben können, und fügt hinzu, dass es eine No-Questions-Asked-Politik befolgt: „Wir kümmern uns nicht darum, was Sie betreiben, und erzwingen keine Inhaltsregeln.“
Socket-Sicherheitsforscherin Olivia Brown erklärte, „Beim Besuch einer gefälschten Website, die von einem der Pakete erstellt wurde, bestimmt der Bedrohungsschauspieler, ob der Besucher ein Opfer oder ein Sicherheitsforscher ist […] Wenn der Besucher ein Opfer ist, sieht er eine gefälschte CAPTCHA, die ihn schließlich zu einer bösartigen Website führt. Wenn er ein Sicherheitsforscher ist, würden nur wenige Hinweise auf der gefälschten Website darauf hindeuten, dass etwas Unheilvolles vor sich geht.“
Die Fähigkeit von AdSpect, die Aktionen von Forschern in seinem Webbrowser zu blockieren
Von diesen Paketen haben sechs ein 39 kB großes Stück Malware, das sich selbst versteckt und eine Kopie des System-Fingerabdrucks erstellt. Es versucht auch, der Analyse zu entgehen, indem es Entwickleraktionen in einem Webbrowser blockiert, was es Forschern verhindert, den Quellcode anzusehen oder Entwickler-Tools zu starten.
Die Pakete nutzen eine JavaScript-Funktion namens „Immediately Invoked Function Expression (IIFE)“. Sie ermöglicht es, den bösartigen Code sofort auszuführen, sobald er im Webbrowser geladen wird.
„signals-embed“ hat jedoch keine offensichtliche bösartige Funktionalität und ist darauf ausgelegt, eine decoy-weiße Seite zu konstruieren. Die erfassten Informationen werden dann an einen Proxy („association-google[.]xyz/adspect-proxy[.]php“) gesendet, um zu bestimmen, ob die Traffic-Quelle von einem Opfer oder einem Forscher stammt, und anschließend eine gefälschte CAPTCHA anzuzeigen.
Nachdem das Opfer auf die CAPTCHA-Checkbox geklickt hat, wird es zu einer betrügerischen, krypto-bezogenen Seite weitergeleitet, die Dienste wie StandX imitiert, mit dem wahrscheinlichen Ziel, digitale Vermögenswerte zu stehlen. Wenn die Besucher jedoch als potenzielle Forscher markiert werden, wird den Benutzern eine weiße gefälschte Seite angezeigt. Sie enthält auch HTML-Code, der mit der Anzeige der Datenschutzrichtlinie einer gefälschten Firma namens Offlido verbunden ist.
Dieser Bericht fällt mit dem Amazon Web Services Bericht zusammen. Darin wurde festgestellt, dass das Amazon Inspector-Team mehr als 150.000 Pakete identifiziert und gemeldet hat, die mit einer koordinierten TE-Token-Farming-Kampagne im npm-Verzeichnis verbunden sind, die ihre Ursprünge in einer ersten Welle hat, die im April 2024 entdeckt wurde.
„Dies ist einer der größten Paket-Flutungs-Vorfälle in der Geschichte von Open-Source-Verzeichnissen und stellt einen entscheidenden Moment in der Lieferkettensicherheit dar“, sagten die Forscher Chi Tran und Charlie Bacon. „Bedrohungsschauspieler generieren und veröffentlichen automatisch Pakete, um Kryptowährungsbelohne zu verdienen, ohne dass die Benutzer es bemerken, was zeigt, wie sich die Kampagne seit ihrer ersten Identifizierung exponentiell ausgeweitet hat.“
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
