AntwortenVeröffentlicht20 Quellen
24 npm-Pakete wurden zur Infrastruktur für ClickFix-Phishing
OX Security identifizierte 24 npm Pakete mit derselben HTML Datei für ein gefälschtes Cloudflare CAPTCHA. Die Seiten leiteten Besucher über wechselnde, von Angreifern kontrollierte Dienste weiter – darunter eine Microsoft Tippfehlerdomain und den öffentlichen Key Value Dienst KeyVal – bevor sie zu einer ClickFix Auf...
Veröffentlicht vonBearbeitet mit GPT-5.6 LunaBilder erstellt mit GPT Image 1.5
Forschungsantwort
Wichtige Erkenntnisse
- OX Security identifizierte 24 npm Pakete mit derselben HTML Datei für ein gefälschtes Cloudflare CAPTCHA.
- Die Seiten leiteten Besucher über wechselnde, von Angreifern kontrollierte Dienste weiter – darunter eine Microsoft Tippfehlerdomain und den öffentlichen Key Value Dienst KeyVal – bevor sie zu einer ClickFix Aufforder...
- Die Pakete verzeichneten vor ihrer Entfernung meist etwa 50 bis 300 Downloads pro Woche.
- Der Fall passt zum wachsenden ClickFix Trend, belegt aber keine Verbindung zwischen dieser Kampagne und anderen namentlich bekannten Operationen.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did OX Security uncover about the campaign using 24 malicious npm packages and trusted mirrors such as unpkg as phishing infrastructure. Article summary: OX Security found that 24 npm packages carried the same malicious HTML file: a fake Cloudflare CAPTCHA. The packages were not designed to infect developers on installation; instead, attackers used npm and automatically s. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
npm diente hier als Hosting-Plattform – nicht primär als Infektionsweg
OX Security hat eine Kampagne dokumentiert, in der 24 npm-Pakete dieselbe schädliche HTML-Datei enthielten: eine gefälschte Cloudflare-CAPTCHA-Seite. Die Pakete waren offenbar nicht in erster Linie darauf ausgelegt, Entwickler bereits bei der Installation zu infizieren. Stattdessen nutzten die Angreifer npm und automatisch synchronisierte Mirrors wie unpkg als vertrauenswürdig wirkende Ablage für Phishing-Inhalte und als zuverlässigen Verbreitungsweg für Links. 2
17
Das ist ein wichtiger Unterschied zu einem klassischen Supply-Chain-Angriff: Das bloße Herunterladen eines solchen Pakets war nicht zwangsläufig der Infektionsmoment. Wer jedoch eine entsprechende Datei über npm oder einen Paket-Mirror aufrief, konnte eine Cloudflare-ähnliche Verifizierungsseite unter einer bekannten Servicedomain sehen. Das eigentliche Ziel war, Menschen über extern verbreitete Links auf diese Seite zu lotsen. 2
17
Wechselnde Weiterleitungen erschweren die Abschaltung
Das gefälschte CAPTCHA bildete den ersten Schritt einer Weiterleitungskette. Frühere Versionen kontaktierten laut OX Security eine Microsoft-Tippfehlerdomain. Spätere Varianten führten zu wechselnden Zielen und Infrastrukturen, darunter microcloud[.]homes und login[.]microsofte[.]live. 2
18
Zusätzlich kam KeyVal zum Einsatz, ein öffentlich zugänglicher Key-Value-Speicher. Er fungierte als Resolver beziehungsweise „Dead Drop“ für Zielinformationen. Dadurch konnten die Betreiber das nächste Ziel austauschen, ohne dieselbe HTML-Datei in allen Paketen neu veröffentlichen zu müssen. 21
Diese Konstruktion macht eine vollständige Abschaltung komplizierter. Wird ein Paket aus dem npm-Registry entfernt, verschwinden nicht automatisch alle URLs, die bereits auf eine synchronisierte Kopie bei einem Mirror verweisen. Berichte zu der Kampagne zufolge blieben einige Paketdateien und über Mirrors gehostete Seiten auch nach der Entfernung aus dem Registry verfügbar. 17
18
Das CAPTCHA war nur die Tarnung für ClickFix
Die angebliche Sicherheitsprüfung war nicht echt. Stattdessen sollte sie die Opfer dazu bringen, einen Befehl zu kopieren, einzufügen und auf dem eigenen Computer auszuführen. Genau das ist das typische ClickFix-Muster: Die Angreifer nutzen keine Softwarelücke aus, sondern überreden die betroffene Person, selbst einen schädlichen Befehl mit den eigenen Benutzerrechten zu starten. 20
25
Gefälschte Verifizierungsseiten sind besonders wirksam, weil sie vertraute Browser- und Sicherheitsmarken imitieren. Untersuchungen zu ähnlichen Kampagnen beschreiben Schaltflächen oder Anweisungen, die unauffällig einen Befehl in die Zwischenablage legen und anschließend durch Tastenkürzel oder ein Fenster des Betriebssystems zur Ausführung führen. 26
28
Die wichtigste praktische Regel lautet daher: Ein CAPTCHA darf niemals verlangen, eine Shell, PowerShell, ein Terminal oder das „Ausführen“-Fenster zu öffnen und dort kopierten Text auszuführen.
Wie groß war die Reichweite?
Laut OX Security erzielte jedes Paket vor seiner Entfernung typischerweise etwa 50 bis 300 Downloads pro Woche. 2 Diese Zahlen beschreiben allerdings nur die Aktivität im Registry – nicht die Gesamtzahl der Menschen, die über direkt verbreitete Links oder Mirror-URLs mit den Phishing-Seiten in Kontakt kamen.
Übliche Download-Statistiken greifen in diesem Fall deshalb zu kurz. Die Pakete fungierten als Netzwerk gehosteter Landingpages, während die Angreifer die URLs über Phishing-Nachrichten, kompromittierte Websites oder andere Kanäle verbreiten konnten. 2
17
Ein weiterer Baustein im wachsenden ClickFix-Trend
Die npm-Kampagne lässt sich am besten als Infrastrukturvariante eines größeren ClickFix-Modells verstehen. In verschiedenen dokumentierten Kampagnen kombinieren Angreifer eine vertraute Täuschung – etwa ein CAPTCHA, eine Browserfehlermeldung, ein angebliches Update oder ein Softwaretool – mit der Aufforderung, selbst einen Befehl auszuführen. Proofpoint beschreibt ClickFix als eine zunehmend verbreitete Methode zur Auslieferung von Schadsoftware. Microsoft dokumentierte zudem Weiterentwicklungen, bei denen Störungen und Social Engineering die Wahrscheinlichkeit einer Ausführung erhöhen sollen. 22
25
27
Die genannten Beispiele – PavinLoader, EtherHiding, Amatera Stealer, gefälschte OpenAI-Codex-Seiten für Mac-Entwickler, ACR Stealer und die angeblich frühere Beamglea-Kampagne – können den breiteren Trend zur nutzerunterstützten Ausführung veranschaulichen. Die vorliegenden Belege zeigen jedoch nicht, dass die 24-Paket-Kampagne vom selben Akteur betrieben wurde. Ebenso lässt sich die behauptete Verbindung zu einer früheren Beamglea-Kampagne mit 175 missbrauchten npm-Paketen auf Grundlage der bereitgestellten Quellen nicht bestätigen.
Die zentrale Sicherheitsbotschaft
Der Fall erweitert das Verständnis von npm-Supply-Chain-Bedrohungen. Ein Paket muss nicht schon bei der Installation Schadcode ausführen, um für Angreifer nützlich zu sein. Eine statische HTML-Datei, die über ein vertrauenswürdiges Registry und dessen Mirrors ausgeliefert wird, kann als Eingangstor für eine Phishing-Kampagne dienen.
Für Entwickler und Sicherheitsteams bedeutet das: Unerwartete npm- und CDN-URLs sollten geprüft, angebliche Verifizierungsanweisungen als Social Engineering behandelt und Browser sowie Endgeräte auf verdächtige Befehlsausführung überwacht werden. Befehle, die von Webseiten kopiert wurden, sollten grundsätzlich nicht ausgeführt werden.
Das entscheidende Warnsignal ist nicht das CAPTCHA selbst, sondern jede Aufforderung, normale Sicherheitsmechanismen zu umgehen und Text einzufügen und auszuführen.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „24 npm-Pakete wurden zur Infrastruktur für ClickFix-Phishing“?
OX Security identifizierte 24 npm Pakete mit derselben HTML Datei für ein gefälschtes Cloudflare CAPTCHA.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
OX Security identifizierte 24 npm Pakete mit derselben HTML Datei für ein gefälschtes Cloudflare CAPTCHA. Die Seiten leiteten Besucher über wechselnde, von Angreifern kontrollierte Dienste weiter – darunter eine Microsoft Tippfehlerdomain und den öffentlichen Key Value Dienst KeyVal – bevor sie zu einer ClickFix Aufforder...
Was soll ich als nächstes in der Praxis tun?
Die Pakete verzeichneten vor ihrer Entfernung meist etwa 50 bis 300 Downloads pro Woche.