Axios-npm-Lieferkettenangriff verbreitet plattformübergreifenden RAT, CISA ordnet dringende Citrix-Patches an, Silver Fox setzt AtlasCross RAT ein, Ausnutzung von Fortinet EMS beginnt

Das äußerst beliebte Axios-npm-Paket (über 83 Mio. wöchentliche Downloads) wurde über ein gekapertes Maintainer-Konto kompromittiert und verbreitet einen plattformübergreifenden RAT, der auf Windows, macOS und Linux abzielt. CISA erlässt eine Notfallanweisung, die Bundesbehörden verpflichtet, die aktiv ausgenutzte Citrix-NetScaler-Schwachstelle CVE-2026-3055 bis Donnerstag zu patchen. Die chinesische APT-Gruppe Silver Fox weitet ihre Aktivitäten mit einem neuen AtlasCross RAT, der über Typosquatting-Domains verbreitet wird, in ganz Asien aus. Die aktive Ausnutzung einer kritischen SQL-Injection-Schwachstelle in Fortinet FortiClient EMS beginnt. Das niederländische Finanzministerium nimmt sein Treasury-Banking-Portal offline, während die Untersuchung des Sicherheitsvorfalls ausgeweitet wird.

1. Axios-npm-Lieferkettenangriff — plattformübergreifender RAT betrifft 83 Mio. wöchentliche Downloads

Die Axios-HTTP-Clientbibliothek — mit mehr als 83 Millionen wöchentlichen Downloads eines der meistgenutzten Pakete im JavaScript-Ökosystem — wurde Opfer eines ausgeklügelten Lieferkettenangriffs. Zwei schädliche Versionen (1.14.1 und 0.30.4) wurden mithilfe der kompromittierten Zugangsdaten des primären Maintainers „jasonsaayman“ auf npm veröffentlicht.

Angriffsmechanismus

Der Angreifer schleuste eine gefälschte Abhängigkeit namens „plain-crypto-js“ (Version 4.2.1) ein, deren einziger Zweck darin besteht, ein Postinstall-Skript auszuführen, das als plattformübergreifender RAT-Dropper fungiert. Die Malware kontaktiert einen aktiven C2-Server und liefert plattformspezifische Payloads der zweiten Stufe für macOS, Windows und Linux aus. Nach der Ausführung zerstört sie sich selbst und ersetzt ihre eigene package.json durch eine saubere Version, um der forensischen Erkennung zu entgehen.

Genauer zeitlicher Ablauf des Angriffs

• 30. März, 05:57 UTC — Sauberes „plain-crypto-js@4.2.0“ zur Vorbereitung veröffentlicht
• 30. März, 23:59 UTC — Schädliches „plain-crypto-js@4.2.1“ mit Payload veröffentlicht
• 31. März, 00:21 UTC — Kompromittiertes „axios@1.14.1“ über das gekaperte Konto veröffentlicht
• 31. März, 01:00 UTC — Kompromittiertes „axios@0.30.4“ veröffentlicht (39 Minuten später)

Der StepSecurity-Forscher Ashish Kurmi betonte: „Dies war kein opportunistischer Angriff. Die schädliche Abhängigkeit wurde 18 Stunden im Voraus vorbereitet. Drei separate Payloads wurden für drei Betriebssysteme vorab erstellt. Beide Release-Zweige wurden innerhalb von 39 Minuten getroffen. Jede Spur war darauf ausgelegt, sich selbst zu vernichten.“

Sofort erforderliche Maßnahmen

• Sofortiges Downgrade auf Axios 1.14.0 oder 0.30.3
• Alle Geheimnisse und Zugangsdaten rotieren auf betroffenen Systemen
• CI/CD-Pipelines auf Builds prüfen, die kompromittierte Versionen verwenden
• Build- und Produktionsumgebungen auf Anzeichen von C2-Kommunikation prüfen
• Die schädlichen Versionen und „plain-crypto-js“ wurden von npm entfernt

2. CISA ordnet dringende Citrix-NetScaler-Patches an — CVE-2026-3055 wird aktiv ausgenutzt

CISA hat eine dringende Patch-Anweisung erlassen, nachdem die Citrix-NetScaler-Schwachstelle CVE-2026-3055 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen wurde. US-Bundesbehörden der zivilen Exekutive müssen gemäß BOD 22-01 alle anfälligen Appliances bis Donnerstag, den 2. April, absichern.

Technische Details

Die Schwachstelle beruht auf einer unzureichenden Eingabevalidierung in Citrix-ADC- und Citrix-Gateway-Appliances, die als SAML-Identitätsanbieter (IDPs) konfiguriert sind. Nicht authentifizierte entfernte Angreifer können sie ausnutzen, um sensible Inhalte des Anwendungsspeichers offenzulegen, darunter Sitzungs-IDs für die Admin-Authentifizierung — was potenziell die vollständige Übernahme der Appliance ermöglicht.

Das Cybersicherheitsunternehmen Watchtowr bestätigte, dass die aktive Ausnutzung wenige Tage nach der Veröffentlichung der Patches durch Citrix am 23. März begann. Die Angreifer zielen dabei auf dieselbe Klasse von Speicherleck-Schwachstellen ab, die CitrixBleed und CitrixBleed2 so verheerend machte.

Ausmaß der Gefährdung

• Rund 30.000 NetScaler-ADC-Appliances werden von Shadowserver erfasst
• Mehr als 2.300 Gateway-Instanzen sind online erreichbar
• Ähnelt dem Angriffsmuster von CitrixBleed (CVE-2023-4966)
• Patch am 23. März veröffentlicht — Ausnutzung innerhalb weniger Tage bestätigt
• Alle Organisationen, die NetScaler als SAML-IDP verwenden, sollten sofort patchen

3. Silver-Fox-APT setzt AtlasCross RAT über Typosquatting-Domains ein

Chinesischsprachige Nutzer werden von Silver Fox (auch als SwimSnake, Valley Thief, UTG-Q-1000 und Void Arachne verfolgt) in einer aktiven Kampagne angegriffen, die Typosquatting-Domains zur Nachahmung vertrauenswürdiger Softwaremarken verwendet. Die Kampagne verbreitet einen bislang nicht dokumentierten Fernzugriffstrojaner namens AtlasCross RAT.

Kampagneninfrastruktur

Das deutsche Cybersicherheitsunternehmen Hexastrike identifizierte 11 bestätigte Verbreitungsdomains für:

• VPN-Clients — Nachahmung von Surfshark VPN
• Verschlüsselte Messenger — gefälschte Websites für Signal und Telegram
• Videokonferenzen — Nachahmungen von Zoom und Microsoft Teams
• Kryptowährungs-Tracker und E-Commerce-Anwendungen

Technische Weiterentwicklung

AtlasCross RAT stellt eine bedeutende Weiterentwicklung gegenüber dem bisherigen Arsenal von Silver Fox aus Gh0st-RAT-Derivaten (ValleyRAT/Winos 4.0, Gh0stCringe, HoldingHands RAT) dar. Die Angriffskette nutzt gefälschte Websites, um ZIP-Archive mit einer trojanisierten Autodesk-Binärdatei auszuliefern. Diese startet einen Shellcode-Loader, extrahiert C2-Details aus einer eingebetteten Gh0st-RAT-Konfiguration und lädt Payloads der zweiten Stufe über TCP-Port 9899 herunter.

Empfehlungen zur Abwehr

• Bekannte C2-Domains von Silver Fox blockieren, insbesondere „bifa668[.]com“
• Quellen für Softwaredownloads überprüfen — ausschließlich offizielle Anbieter-Websites verwenden
• Auf die unerwartete Ausführung von Autodesk-Binärdateien überwachen
• Bei ausgehenden Verbindungen über TCP 9899 alarmieren
• Die meisten gefälschten Domains wurden an einem einzigen Tag registriert, was auf koordinierte Kampagnen hindeutet

4. Kritische SQL-Injection in Fortinet FortiClient EMS — aktive Ausnutzung beginnt

Die aktive Ausnutzung einer kritischen SQL-Injection-Schwachstelle in Fortinet FortiClient Enterprise Management Server (EMS) hat begonnen. Die Schwachstelle ermöglicht nicht authentifizierten entfernten Angreifern die Ausführung beliebigen Codes über speziell präparierte HTTP-Anfragen an die Verwaltungskonsole.

Folgenabschätzung

FortiClient EMS wird in Unternehmen häufig zur zentralisierten Endpunktverwaltung, Patch-Bereitstellung und Durchsetzung von Sicherheitsrichtlinien eingesetzt. Eine erfolgreiche Ausnutzung verschafft Angreifern:

• Entfernte Codeausführung auf dem EMS-Server
• Zugriff auf Konfigurationen und Zugangsdaten verwalteter Endpunkte
• Die Möglichkeit, schädliche Richtlinien an alle verwalteten FortiClient-Endpunkte zu verteilen
• Die Fähigkeit zur lateralen Bewegung innerhalb der gesamten verwalteten Geräteflotte

Sofortmaßnahmen

• Fortinet-Sicherheitsupdates sofort installieren
• Netzwerkzugriff auf EMS-Verwaltungsschnittstellen beschränken
• EMS-Protokolle auf ungewöhnliche SQL-Muster und HTTP-Anfragen überwachen
• Konfigurationen verwalteter Endpunkte auf unbefugte Änderungen prüfen
• Vorübergehende Netzwerkisolierung der EMS-Server bis zur Installation des Patches erwägen

5. Niederländisches Finanzministerium weitet Reaktion auf Sicherheitsvorfall aus — Treasury-Portal offline

Das niederländische Finanzministerium hat seine Reaktion auf den Sicherheitsvorfall erheblich ausgeweitet und nach dem Cyberangriff vom 19. März das digitale Treasury-Banking-Portal offline genommen sowie mehrere weitere Systeme abgeschaltet. Finanzminister Eelco Heinen erklärte in einer Stellungnahme gegenüber der Zweiten Kammer des niederländischen Parlaments, dass die Abschaltung etwa 1.600 öffentliche Institutionen betrifft.

Kaskadierende Auswirkungen

• Rund 1.600 öffentliche Institutionen können die Salden ihrer Treasury-Konten nicht online einsehen
• Kreditanträge, Einzahlungen, Kreditanfragen und Berichtserstellung ausgesetzt
• Zu den betroffenen Einrichtungen gehören Ministerien, Regierungsbehörden, Bildungseinrichtungen, Sozialfonds und Kommunalverwaltungen
• Ein- und ausgehende Zahlungen werden über reguläre Bankkanäle fortgeführt
• Für wesentliche Prozesse wird manuell ein Mindestmaß an Dienstleistungen aufrechterhalten

Stand der Untersuchung

Das niederländische Nationale Zentrum für Cybersicherheit (NCSC) unterstützt die Untersuchung. Bislang hat sich kein Bedrohungsakteur und keine Cybercrime-Gruppe zu dem Angriff bekannt. Das Ministerium meldete den Sicherheitsvorfall erstmals vergangene Woche und erklärte, dass die Steuererhebung und bürgernahen Dienstleistungen nicht betroffen seien. Die heute ausgeweitete Abschaltung zeigt jedoch, dass die Auswirkungen des Vorfalls größer sind als zunächst kommuniziert.

Zusammenfassung der Bedrohungslage