Sicherheitsbriefing 5. April 2026 · 9 Min. Lesezeit

36 schädliche npm-Strapi-Pakete zielen auf Kryptoplattformen, React2Shell greift 766 Hosts ab, Nordkorea kapert Axios durch Social Engineering

Das npm-Ökosystem wird gleich dreifach angegriffen: 36 gefälschte Strapi-Plugins installieren persistente Implantate, die durch die Ausnutzung von Redis und PostgreSQL auf Kryptowährungsplattformen abzielen. Automatisierte React2Shell-Kampagnen erbeuten innerhalb von 24 Stunden Zugangsdaten von 766 Hosts. Nordkoreanische Hacker manipulieren einen Axios-Maintainer mithilfe eines gefälschten Microsoft-Teams-Fehlers. Unterdessen richtet sich ein TrueConf-Zero-Day gegen asiatische Regierungen und Apple weitet seine Schutzmaßnahmen gegen DarkSword-Exploits aus.

📦 36 schädliche npm-Strapi-Pakete installieren persistente Implantate gegen Kryptoplattformen

🔴 KRITISCH — Lieferkettenangriff mit Datenbankausnutzung und Diebstahl von Zugangsdaten

SafeDep hat 36 schädliche npm-Pakete identifiziert, die sich als Plugins für das Strapi-CMS tarnen, Redis- und PostgreSQL-Datenbanken ausnutzen, Reverse Shells installieren und Kryptowährungsgeheimnisse abgreifen. Die Beweislage deutet auf einen gezielten Angriff gegen eine bestimmte Kryptoplattform hin.

SafeDep hat 36 schädliche Pakete in der npm-Registry entdeckt, die sich allesamt als legitime Community-Plugins für Strapi v3 ausgeben. Die Paketnamen beginnen einheitlich mit strapi-plugin- — offizielle Strapi-Plugins verwenden hingegen den bereichsspezifischen Namensraum @strapi/.

So funktioniert der Angriff

Ausführung eines Postinstall-Hooks — schädlicher Code wird bei npm install automatisch und ohne erforderliche Benutzerinteraktion ausgeführt
Root-Zugriff in CI/CD — die Ausführung erfolgt mit den Rechten des installierenden Benutzers, in Docker-Containern und Pipelines häufig als Root
Acht sich weiterentwickelnde Schadprogramme — der Angreifer durchlief innerhalb von 13 Stunden zunehmend ausgefeilte Ansätze

Entwicklung der Schadprogramme

Die Kampagne zeigt eine klare Entwicklung von aggressiver Ausnutzung hin zu gezielter Persistenz:

Phase 1: Redis-RCE durch Crontab-Injektion — Shell-Skripte werden jede Minute heruntergeladen und ausgeführt, außerdem werden PHP-Web-Shells und Node.js-Reverse-Shells installiert
Phase 2: Ausbruch aus dem Docker-Container in Verbindung mit der Ausnutzung von Redis — Schadprogramme werden außerhalb des Containers auf das Hostsystem geschrieben
Phase 3: Durchsuchen von Umgebungsvariablen und Abgreifen von PostgreSQL-Zugangsdaten
Phase 4: Erweiterte Aufklärung — Extraktion der Strapi-Konfiguration, Speicherauszüge von Redis-Datenbanken, Kartierung der Netzwerktopologie sowie Abgreifen von Docker- und Kubernetes-Geheimnissen
Phase 5: Direkte Ausnutzung von PostgreSQL mit fest einprogrammierten Zugangsdaten — Strapi-Tabellen werden nach kryptobezogenen Mustern durchsucht (Wallet, Transaktion, Einzahlung, Auszahlung, Hot, Cold, Guthaben)
Phase 6: Persistentes Implantat mit Diebstahl von Zugangsdaten, das auf einen bestimmten Hostnamen (prod-strapi) abzielt

Die Verwendung fest einprogrammierter Datenbankzugangsdaten und die Ausrichtung auf einen bestimmten Hostnamen deuten stark darauf hin, dass der Angreifer bereits zuvor Zugriff auf die Zielumgebung hatte — wahrscheinlich durch eine frühere Kompromittierung. Vier gefälschte npm-Konten luden alle 36 Pakete innerhalb eines einzigen Zeitfensters von 13 Stunden hoch.

Maßnahme: Überprüfen Sie sämtliche Abhängigkeiten von Strapi-Plugins. Stellen Sie sicher, dass ausschließlich bereichsspezifische @strapi/-Pakete verwendet werden. Falls eines der 36 aufgeführten Pakete installiert ist, muss das System als vollständig kompromittiert betrachtet werden — ändern Sie unverzüglich sämtliche Zugangsdaten, Datenbankzugriffstoken und Schlüssel für Kryptowährungs-Wallets.

🌐 Automatisierte React2Shell-Kampagne erbeutet innerhalb von 24 Stunden Zugangsdaten von 766 Hosts

🔴 KRITISCH — Massenausnutzung von CVE-2025-55182 mit automatisierter Ausleitung von Geheimnissen

Cisco Talos dokumentiert den Bedrohungscluster UAT-10608, der ein automatisiertes Framework zum Abgreifen von Zugangsdaten betreibt und durch die Ausnutzung von React2Shell in anfälligen Next.js-Anwendungen 766 Hosts kompromittiert hat.

Cisco Talos hat eine detaillierte Analyse von UAT-10608 veröffentlicht. Der Bedrohungscluster betreibt über die React2Shell-Schwachstelle (CVE-2025-55182) in Next.js-Anwendungen eine industrielle Operation zum Abgreifen von Zugangsdaten.

Das NEXUS-Listener-Framework

Forschende erhielten Zugriff auf eine exponierte Instanz der Command-and-Control-Plattform NEXUS Listener der Angreifer und konnten dadurch das vollständige Ausmaß der Operation aufdecken:

766 innerhalb von 24 Stunden kompromittierte Hosts bei mehreren Cloudanbietern und in verschiedenen geografischen Regionen
Mehrphasiges Abgreifen von Zugangsdaten — nach der Ausnutzung installierte automatisierte Skripte extrahieren:

Umgebungsvariablen, API-Schlüssel und Datenbankzugangsdaten
Private SSH-Schlüssel
Cloud-Zugangsdaten und IAM-Token für AWS, GCP und Azure
Kubernetes-Token und Docker-Geheimnisse
GitHub- und GitLab-Token sowie Stripe-API-Schlüssel
Den Verlauf von Shell-Befehlen und Laufzeitdaten von Prozessen

Blockweise Ausleitung — Daten werden über HTTP und Port 8080 an eine Weboberfläche mit Such-, Filter- und Statistikfunktionen übertragen

Die gestohlenen Zugangsdaten ermöglichen die Übernahme von Cloudkonten, Lieferkettenangriffe, laterale Bewegungen mithilfe von SSH-Schlüsseln und Datenbankzugriffe, einschließlich des Zugriffs auf Zahlungssysteme. Betroffene Organisationen sind zudem regulatorischen Risiken wegen Verstößen gegen Datenschutzgesetze ausgesetzt.

Maßnahme: Aktualisieren Sie Next.js unverzüglich, um CVE-2025-55182 zu schließen. Überprüfen Sie die serverseitige Offenlegung von Daten. Ändern Sie sämtliche Zugangsdaten, falls eine Kompromittierung vermutet wird. Erzwingen Sie AWS IMDSv2, ersetzen Sie wiederverwendete SSH-Schlüssel, aktivieren Sie das Scannen nach Geheimnissen und implementieren Sie WAF-/RASP-Schutzmaßnahmen für Next.js-Anwendungen.

🇰🇵 Nordkoreanische Hacker kapern Axios-npm-Paket durch Social Engineering

🟠 HOCH — Lieferkettenangriff durch Social Engineering gegen einen Maintainer

Die nordkoreanische Bedrohungsgruppe UNC1069 kompromittierte das Axios-npm-Paket, indem sie den leitenden Maintainer durch einen gefälschten Microsoft-Teams-Fehler manipulierte, und verbreitete dadurch einen RAT auf macOS-, Windows- und Linux-Systemen.

Die Maintainer von Axios, einer der beliebtesten HTTP-Clientbibliotheken im JavaScript-Ökosystem, haben eine detaillierte Nachbetrachtung veröffentlicht, die offenlegt, wie nordkoreanische Hacker ihr Projekt infiltrierten.

Die Social-Engineering-Kette

Imitation eines gefälschten Unternehmens — die Angreifer kopierten den Markenauftritt eines legitimen Unternehmens einschließlich der Erscheinungsbilder seiner Gründer und erstellten einen überzeugenden Slack-Arbeitsbereich mit inszenierten Kanälen und gefälschten Profilen von Mitarbeitern und anderen Open-Source-Maintainern
Microsoft-Teams-Besprechung — der leitende Maintainer wurde zu einem geplanten Anruf eingeladen, an dem scheinbar zahlreiche Personen teilnahmen
Gefälschter Teams-Fehler — während des Anrufs wurde der Maintainer aufgrund eines technischen Fehlers zur Installation eines „Updates“ aufgefordert, bei dem es sich tatsächlich um einen RAT (WAVESHAPER.V2) handelte
Diebstahl von Zugangsdaten — der RAT verschaffte den Angreifern Fernzugriff auf das Gerät des Maintainers, wodurch sie npm-Zugangsdaten erlangen konnten
Schädliche Versionen veröffentlicht — die Axios-Versionen 1.14.1 und 0.30.4 wurden mit einer Abhängigkeit (plain-crypto-js) veröffentlicht, die einen plattformübergreifenden RAT enthielt

Die Google Threat Intelligence Group schreibt den Angriff UNC1069 zu, einem finanziell motivierten nordkoreanischen Bedrohungsakteur, der seit 2018 aktiv ist. Die schädlichen Versionen waren vor ihrer Entfernung etwa drei Stunden lang verfügbar.

Maßnahme: Prüfen Sie sämtliche Projekte auf die Axios-Versionen 1.14.1 und 0.30.4. Falls eine davon während des Expositionszeitraums installiert wurde, muss das System als kompromittiert betrachtet werden. Ändern Sie sämtliche Zugangsdaten und Authentifizierungsschlüssel. Open-Source-Maintainer sollten gegenüber Social Engineering wachsam sein — prüfen Sie sämtliche Softwareupdates ausschließlich über offizielle Kanäle.

🎥 TrueConf-Zero-Day bei Angriffen auf asiatische Regierungen ausgenutzt

🟠 HOCH — Mit China verbundener Bedrohungsakteur nutzt Videokonferenzplattform aus

Ein mit China verbundener Bedrohungsakteur nutzt eine Zero-Day-Schwachstelle in der TrueConf-Videokonferenzsoftware aus, um Ziele in asiatischen Regierungen auszukundschaften, Rechte auszuweiten und zusätzliche Schadprogramme zu installieren.

SecurityWeek berichtet, dass ein chinesischer Bedrohungsakteur eine zuvor unbekannte Schwachstelle in der Videokonferenzplattform TrueConf ausnutzt, um Regierungsorganisationen in ganz Asien anzugreifen. Die Angriffskette umfasst:

Erstzugriff über einen Zero-Day — Ausnutzung von TrueConf, um in Regierungsnetzwerken Fuß zu fassen
Aufklärung — Kartierung der internen Netzwerkinfrastruktur und Identifizierung hochwertiger Ziele
Rechteausweitung — Übergang vom Erstzugriff zu Berechtigungen auf Administratorebene
Installation von Schadprogrammen — Installation zusätzlicher Werkzeuge für persistenten Zugriff und die Ausleitung von Daten

Dies entspricht einem zunehmenden Trend, bei dem staatlich unterstützte Akteure Kollaborations- und Videokonferenzplattformen als Einstiegspunkte in Regierungsnetzwerke angreifen. Organisationen, die TrueConf verwenden, sollten nach Anzeichen einer Kompromittierung suchen und Aktualisierungen anwenden, sobald sie verfügbar sind.

🍎 Apple weitet Schutzmaßnahmen gegen DarkSword-Exploits auf weitere Geräte aus

Apple führt auf einer größeren Zahl von Geräten zusätzliche Schutzmaßnahmen gegen das DarkSword-Exploit-Kit ein. Das DarkSword-Kit, das Ende März auf GitHub geleakt wurde, ist sowohl von staatlich unterstützten Hackern als auch von kommerziellen Anbietern von Spionagesoftware gegen iPhone-Nutzer eingesetzt worden.

Wichtige Neuerungen:

Erweiterte Geräteabdeckung — die Schutzmaßnahmen erreichen nun auch ältere iPhone- und iPad-Modelle, für die zuvor keine Aktualisierung verfügbar war
Schutzmaßnahmen auf Kernel-Ebene — Komponenten der Exploit-Kette, die eine Rechteausweitung ermöglichen, werden entschärft
Verbesserungen am Blockierungsmodus — zusätzliche Härtung für Benutzer mit erhöhtem Risiko einer gezielten Überwachung

Benutzer sollten sämtliche Apple-Geräte unverzüglich aktualisieren. Personen mit hohem Risiko einer gezielten Überwachung, etwa Journalisten, Aktivisten und Diplomaten, sollten für maximalen Schutz den Blockierungsmodus aktivieren.

🏥 Europäische Kommission bestätigt Datenleck von mehr als 300 GB im Zusammenhang mit Trivy-Lieferkettenangriff

Die Europäische Kommission hat eine Datenschutzverletzung im Zusammenhang mit dem Trivy-Lieferkettenangriff bestätigt. Hacker stahlen mehr als 300 GB an Daten aus der AWS-Umgebung der Kommission, darunter personenbezogene Informationen.

Dies ist bereits der zweite größere Sicherheitsvorfall bei EU-Institutionen innerhalb der vergangenen Monate, nachdem beim TeamPCP-/CERT-EU-Vorfall Daten von 30 Einrichtungen der Union offengelegt wurden. Die Datenschutzverletzung wirft schwerwiegende Fragen zur Lieferkettensicherheit in kritischer Regierungsinfrastruktur und zu den sich fortpflanzenden Auswirkungen kompromittierter Open-Source-Sicherheitswerkzeuge auf.

📋 Kurzmeldungen

ChatGPT-Datenleck: OpenAI untersucht Berichte über offengelegte Daten aus Benutzerunterhaltungen — Ausmaß und Auswirkungen werden noch bewertet.
Android-Rootkit: Ein neues Android-Rootkit wurde entdeckt, das unterhalb der Betriebssystemebene persistent bleibt und daher mit üblichen mobilen Sicherheitswerkzeugen nur äußerst schwer erkannt und entfernt werden kann.
Ransomware in Wasseraufbereitungsanlage: Eine US-amerikanische Wasseraufbereitungsanlage wurde von Ransomware getroffen. Damit setzt sich der Trend fort, dass cyberkriminelle Gruppen kritische Infrastruktur angreifen.
Interner Sicherheitsvorfall bei T-Mobile: T-Mobile stellt klar, dass die jüngste Meldung einer Datenschutzverletzung eine interne Bedrohung mit begrenzten Auswirkungen betraf — und nicht, wie zunächst vermutet, einen externen Hackerangriff.
Nordkorea erbeutet 285 Millionen US-Dollar von Drift: Nordkoreanische Hacker entwendeten innerhalb von nur zehn Sekunden 285 Millionen US-Dollar von der DeFi-Plattform Drift. Vor dem Raub hatten sie die Infrastruktur vorbereitet und mehrere Nonce-basierte Transaktionen angelegt.
Nacogdoches Memorial Hospital: 250.000 Patienten sind von einer Datenschutzverletzung im Januar 2026 betroffen, bei der Bedrohungsakteure auf das interne Netzwerk des Krankenhauses zugriffen und personenbezogene sowie gesundheitliche Informationen stahlen.

🛡️ Empfohlene Maßnahmen

Sicherheit der npm-Lieferkette: Überprüfen Sie sämtliche Abhängigkeiten auf die 36 schädlichen Strapi-Pakete. Verwenden Sie ausschließlich bereichsspezifische Pakete (@strapi/). Integrieren Sie npm audit in CI/CD-Pipelines. Erwägen Sie die Verwendung von Sperrdateien und die Überprüfung der Paketherkunft.
Betreiber von Next.js: Aktualisieren Sie CVE-2025-55182 (React2Shell) unverzüglich. Implementieren Sie WAF-Regeln, um Ausnutzungsversuche zu blockieren. Ändern Sie sämtliche Umgebungsgeheimnisse, falls Sie nicht aktualisierte Next.js-Instanzen betreiben.
Open-Source-Maintainer: Aktivieren Sie hardwarebasierte Zwei-Faktor-Authentifizierung für sämtliche Konten bei Paketregistrierungsdiensten. Prüfen Sie sämtliche Softwareupdates ausschließlich über offizielle Kanäle. Seien Sie bei unaufgeforderten Besprechungseinladungen unbekannter Unternehmen äußerst vorsichtig — insbesondere, wenn dabei Installationen zur „Fehlerbehebung“ verlangt werden.
Videokonferenzen: Organisationen, die TrueConf verwenden, sollten die neuesten Aktualisierungen anwenden und nach Anzeichen einer Kompromittierung suchen. Erwägen Sie eine Netzwerksegmentierung, um laterale Bewegungen aus Kollaborationswerkzeugen heraus einzuschränken.
Apple-Benutzer: Aktualisieren Sie sämtliche Geräte unverzüglich. Aktivieren Sie den Blockierungsmodus, falls bei Ihnen ein erhöhtes Risiko einer gezielten Überwachung besteht.
Kryptowährungsbetrieb: Überprüfen Sie sämtliche auf Strapi basierende Infrastruktur. Ändern Sie Datenbankzugangsdaten, API-Schlüssel und Wallet-Schlüssel. Überwachen Sie Redis- und PostgreSQL-Protokolle auf Muster unbefugter Zugriffe.

Bleiben Sie Bedrohungen einen Schritt voraus

Erhalten Sie täglich relevante Sicherheitsinformationen — ganz ohne unnötiges Rauschen.

KENSAI entdecken →

KENSAI-Sicherheitsbriefing — 5. April 2026
Zusammengestellt aus den Informationsquellen von SafeDep, Cisco Talos, Google Threat Intelligence Group, BleepingComputer, The Hacker News, SecurityWeek und Kaspersky.