Axios-Angriff und gefälschte Claude-Apps zeigen ein neues Software-Vertrauensproblem

Der Axios-Vorfall vom 31. März 2026 und die SilverFox-Kampagne mit gefälschten Claude-Apps nutzten unterschiedliche Verbreitungswege. Ihr Kernprinzip war jedoch identisch: Schadsoftware sollte wie vertrauenswürdige Software aussehen.

Im einen Fall missbrauchten Angreifer das Veröffentlichungsrecht eines legitimen npm-Maintainers und eine weit verbreitete Software-Abhängigkeit. Im anderen imitierten sie ein KI-Produkt, das Beschäftigte plausibel für ihre Arbeit installieren könnten.

Wichtig ist die Abgrenzung: Weder die legitime Axios-Bibliothek noch Anthropics Produkt Claude sind grundsätzlich schädlich. Betroffen waren bestimmte Axios-Versionen; bei SilverFox handelte es sich um gefälschte Installationsprogramme.

Was geschah beim Axios-Angriff?

Angreifer übernahmen den npm-Zugang eines führenden Axios-Maintainers und veröffentlichten die manipulierten Versionen axios@1.14.1 und axios@0.30.4. Beide enthielten die versteckte Abhängigkeit plain-crypto-js@4.2.1. Diese wurde im normalen Axios-Code nicht verwendet, sondern diente dazu, Schadcode während der Installation auszuführen.

Das Installationsskript nahm Kontakt zu einer von den Angreifern kontrollierten Infrastruktur auf und lud einen plattformabhängigen Remote-Access-Trojaner (RAT) für Windows, macOS und Linux nach. Eine gewöhnliche Paketinstallation konnte damit zum ersten Schritt einer umfassenderen Kompromittierung werden.

Die betroffenen Versionen waren ungefähr drei Stunden verfügbar. Die Google Threat Intelligence Group beobachtete Aktivitäten zwischen 00:21 und 03:20 Uhr UTC am 31. März; andere Berichte nennen ein ähnliches Zeitfenster von zwei bis drei Stunden. Axios gehört zu den besonders weit verbreiteten JavaScript-Abhängigkeiten. Je nach Quelle liegen die Schätzungen bei rund 80 Millionen bis mehr als 100 Millionen npm-Downloads pro Woche.

Wie das Maintainer-Konto missbraucht wurde

Die belastbarste öffentliche Berichterstattung spricht für die Übernahme eines npm-Kontos – nicht für eine Schwachstelle in Axios selbst. Ein Bericht nennt ein langlebiges npm-Zugriffstoken des führenden Maintainers; andere Quellen sprechen allgemeiner von kompromittierten Zugangsdaten oder einem übernommenen Maintainer-Konto.

Diese Unterscheidung ist entscheidend. Der Angriff durchbrach die Vertrauensgrenze zwischen der Veröffentlichungsberechtigung eines Maintainers und der Release-Pipeline von npm. Weil die manipulierten Versionen über ein legitimes Konto veröffentlicht wurden, hatten nachgelagerte Entwickler und automatisierte Systeme weniger Anlass, sie als verdächtig einzustufen.

Was die schädliche Abhängigkeit auslöste

plain-crypto-js@4.2.1 war als normale Paketabhängigkeit getarnt, existierte aber vor allem zur Ausführung eines postinstall-Skripts. Dieses Skript kontaktierte einen Command-and-Control-Server und lud eine zweite Payload herunter, die auf das jeweilige Betriebssystem zugeschnitten war.

Dafür musste niemand eine offensichtlich verdächtige ausführbare Datei starten. Auslöser konnte ein gewöhnliches Abhängigkeitsupdate, ein CI-Build oder ein automatisiertes

npm install

War BlueNoroff verantwortlich?

Die Zuordnung ist in den hier verfügbaren Materialien nicht abschließend geklärt. Einige Berichte verknüpfen den Angriff mit nordkoreanischen Akteuren wie BlueNoroff oder verwandten Gruppen. Microsoft schrieb die Kompromittierung dagegen Sapphire Sleet zu.

Diese Einschätzungen sollten nicht zu einer einzigen bestätigten Schlussfolgerung zusammengezogen werden. Ähnlichkeiten bei Code, Infrastruktur und Vorgehensweise können einen Hinweis auf die Urheberschaft liefern, beweisen sie aber nicht. Belastbar festhalten lässt sich: Der Axios-Vorfall umfasste ein übernommenes Maintainer-Konto, manipulierte Releases und einen plattformübergreifenden RAT. Wer genau dahinterstand, wird in öffentlichen Analysen unterschiedlich bewertet.

Wie SilverFox gefälschte Claude-Apps einsetzte

SilverFox wählte einen anderen Weg in die Zielorganisationen: Die Gruppe verbreitete gefälschte Claude-Anwendungen für Windows, macOS und Linux. Im Visier standen Unternehmen aus Industrie, Beratung, Handel und Transport in Indien, Indonesien, Südafrika und Russland.

Die Apps gaben sich als Anthropic-Produkt Claude aus, waren aber keine offiziellen Claude-Installationsprogramme. Ihre Wirkung beruhte auf einem glaubwürdigen Arbeitsszenario: Eine Mitarbeiterin oder ein Mitarbeiter sucht nach einem KI-Tool für mehr Produktivität, lädt eine scheinbar bekannte Anwendung herunter und installiert stattdessen Malware. Kaspersky beschreibt die Kampagne als Teil mehrerer SilverFox-Wellen, die seit Dezember 2025 beobachtet wurden.

Von Steuer-Phishing zu KI-Ködern

Die Kampagne knüpfte zudem an früheres Phishing mit Steuerbezug an. Im Januar und Februar 2026 registrierten Forschende mehr als 1.600 schädliche E-Mails, die sich als offizielle Steuerprüfungsmitteilungen ausgaben oder angeblich Listen von Steuerverstößen enthielten.

Der Verbreitungsweg änderte sich, das psychologische Signal blieb vertraut. Steuerbescheide erzeugen Dringlichkeit und Autorität; ein Markenprodukt aus dem KI-Bereich verspricht Relevanz und Bequemlichkeit. Beides kann Nutzer dazu bringen, Anhänge zu öffnen, Archive herunterzuladen oder Software zu installieren, bevor die Quelle überprüft wurde.

SilverFox arbeitete mit einer mehrstufigen Zustellung und separater Infrastruktur für unterschiedliche Phasen des Eindringens. Dadurch wird es für Verteidiger schwieriger, die komplette Angriffskette anhand einer einzigen Domain oder eines einzelnen Indikators zu erkennen und zu blockieren.

Die gemeinsame Lehre: Vertrauen gehört zur Angriffsfläche

Die beiden Kampagnen zielten auf unterschiedliche Vertrauensbeziehungen:

• Vertrauen in Maintainer: Axios-Releases schienen von einem autorisierten npm-Veröffentlicher zu stammen.
• Vertrauen in Abhängigkeiten: Der Paketmanager behandelte die schädliche Komponente als Teil eines normalen Installationswegs.
• Vertrauen in Marken: Gefälschte Claude-Installer liehen sich die Identität eines bekannten KI-Produkts.
• Vertrauen in Arbeitsabläufe: Entwickler und Beschäftigte führten routinierte Aktionen aus – Abhängigkeiten aktualisieren oder Produktivitätssoftware installieren.

Der Axios-Fall zeigt, warum ein kurzes Zeitfenster trotzdem gefährlich sein kann. Automatisierte Builds, CI/CD-Systeme und Abhängigkeitsupdates laufen oft ohne manuelle Prüfung. Die Zahl der betroffenen Systeme ist daher nicht auf Personen begrenzt, die eine Veröffentlichung bewusst untersucht haben.

SilverFox demonstriert dasselbe Prinzip auf Endgeräten: Schnell wachsende Softwarekategorien liefern Angreifern glaubwürdige neue Köder.

Was Organisationen jetzt tun sollten

Für den Axios-Vorfall sollten Unternehmen Lockfiles, Paketmanifeste, Build-Logs, Caches und Inventare auf axios@1.14.1, axios@0.30.4 und plain-crypto-js@4.2.1 prüfen. Jedes Gerät, auf dem während des Zeitfensters eine betroffene Version installiert wurde, sollte auf nachgeladene Payloads, unbefugte Persistenzmechanismen und abgeflossene Zugangsdaten untersucht werden. Sicherheitshinweise empfehlen ausdrücklich, solche Installationen als potenziell kompromittiert zu behandeln.

Für KI-Software sollten Unternehmen festlegen, dass Desktop-Anwendungen ausschließlich über freigegebene Kanäle bezogen werden. Zusätzlich sollten Herausgeber und Download-Domain geprüft sowie nicht genehmigte Installer blockiert oder in Quarantäne verschoben werden.

Beim npm-Publishing helfen phishing-resistente Multi-Faktor-Authentifizierung, kurzlebige oder eng begrenzte Zugangsdaten, nachvollziehbare Release-Herkunft, Lockfiles und eine Prüfung von Änderungen an Abhängigkeiten. Sie verringern das Risiko, dass ein einziges kompromittiertes Konto zu einem Vorfall in der Software-Lieferkette wird.

Die übergeordnete Maßnahme lautet: An jeder Vertrauensgrenze muss überprüft werden. Ein vertrauter Paketname beweist nicht, dass jede Veröffentlichung sicher ist. Und ein bekannter Produktname beweist nicht, dass jeder Installer echt ist.