npm-Malware: „indexed-btree“ versteckt Schadcode im normalen Programmablauf
Eine laufende npm-Supply-Chain-Kampagne zeigt eine neue Variante bekannter Paket-Angriffe. Das schädliche Paket indexed-btree ahmt die legitime Bibliothek sorted-btree nach, versteckt seine Aktivierung aber nicht in einem Installationsskript. Stattdessen wird der Schadcode erst beim normalen Einsatz des Pakets zur Laufzeit ausgelöst.
Warum der Angriff schwerer zu erkennen ist
Checkmarx zufolge liegt der Auslöser in einer Prototype-Funktion des Pakets. Damit greift eine Sicherheitsprüfung zu kurz, die nur nach auffälligen preinstall– oder postinstall-Skripten sucht. Genau solche Lifecycle-Skripte wurden im npm-Ökosystem zuletzt stärker eingeschränkt.
Nach dem Start erstellt der Loader kryptografisches Schlüsselmaterial, bezieht weitere Daten über einen Ethereum-Smart-Contract und entschlüsselt daraus eine zweite Stufe der Schadsoftware. Außerdem beschreibt Checkmarx Mechanismen zur Systemerkennung, Datenübertragung über Slack und Telegram sowie zum Verwischen von Spuren.
Millionen Downloads machen den Fall relevant
Das Paket erreichte laut Checkmarx zeitweise fast zwei Millionen Downloads pro Woche. Zusätzlich nennt das Forschungsteam mehrere weitere Pakete aus derselben Kampagne. Eine hohe Downloadzahl ist deshalb kein Beweis dafür, dass ein Paket vertrauenswürdig ist.
Für Teams bedeutet das: Abhängigkeiten sollten nicht nur bei der Installation, sondern auch im Laufzeitverhalten und über ihre Herkunft bewertet werden. Eine Übersicht zu grundlegenden Schutzmaßnahmen findest du auch in unserem Beitrag IT-Sicherheit 2026.
Was Entwickler jetzt prüfen sollten
Wer indexed-btree oder eines der von Checkmarx genannten Folgepakete eingesetzt hat, sollte die Abhängigkeiten entfernen, betroffene Systeme untersuchen und gegebenenfalls Zugangsdaten oder Tokens rotieren. Bei npm-Paketen bleibt außerdem sinnvoll, Maintainer-Wechsel, ungewöhnliche Versionssprünge und neue Abhängigkeiten vor Updates zu prüfen.
