Gefälschtes Web3-Accelerator-Programm verteilt Malware über npm, um KI-Agenten zu kapern

Sicherheitsforscher haben einen ausgeklügelten Supply-Chain-Angriff identifiziert, der sich als Web3-Venture-Capital-Accelerator ausgibt. Die unter dem Namen REF8801 verfolgte Operation verteilte bösartige npm-Pakete, die darauf abzielen, Entwicklermaschinen zu infizieren und künstliche Intelligenz-Workflows zu kapern. Diese Kampagne richtete sich an Krypto-Startups, indem sie kostenlose KI-Guthaben und Sicherheitsaudits über gefälschte Tools anbot.

Was passiert ist

Die Akteure gaben sich als Apex Accelerator aus, eine Entität, die Investitionen und Partnerschaften für Krypto-Projekte versprach. Sie veröffentlichten zwei primäre npm-Pakete, @apexacc/cli und @apexacc/audit, unter dem Benutzerkonto "apexaccelerator". Diese Pakete wurden beworben als ein KI-Berater für Gründer bzw. ein Sicherheitsscanner für Smart Contracts. Die zugehörigen GitHub-Repositories und npm-Pakete wurden inzwischen entfernt, jedoch erst nachdem zahlreiche Systeme kompromittiert worden waren.

Nach der Installation boten diese Pakete nicht die versprochene Funktionalität. Stattdessen fungierten sie als Loader für plattformspezifische Malware. Auf Windows-Systemen setzte die Software einen individuellen Information-Stealer ein, der Daten über Telegram exfiltriierte. Auf macOS installierte sie eine Backdoor namens CloudSyncD. Über den traditionellen Datendiebstahl hinaus konfigurierte die Malware lokale KI-Agenten so um, dass Anfragen an Large Language Models (LLMs) über angreiferkontrollierte Infrastruktur geleitet wurden. Dies ermöglichte es den Betreibern, Prompts, Code-Snippets und Gesprächsverläufe abzufangen.

Wichtige Details

• Die Kampagne nutzte zwei Haupt-npm-Pakete: @apexacc/cli und @apexacc/audit, verknüpft mit der gefälschten Apex Foundation.
• Windows-Opfer erhielten einen Multi-Stage-Loader, der die User Account Control (UAC) umgeht und Sicherheitsschnittstellen wie AMSI und ETW patcht.
• macOS-Opfer wurden mit CloudSyncD angegriffen, das gefälschte Autorisierungsaufforderungen nutzt, um sudo-Rechte zu erlangen und sich im System zu persistieren.
• Die Malware leitet OpenRouter-LLM-Datenverkehr um und registriert einen bösartigen Model Context Protocol (MCP)-Server, um das Verhalten von KI-Agenten zu beeinflussen.
• Frühere Iterationen dieser Kampagne im Juli 2026 verteilten Pakete wie @apexfdn/apex und @copilot-mcp/apex.
• Elastic Security Labs bemerkte russischsprachige Kommentare im Quellcode, obwohl die Herkunft der Angreifer weiterhin unbestätigt bleibt.

Hintergrund

Supply-Chain-Angriffe im JavaScript-Ökosystem verlassen sich oft darauf, dass Entwickler vertrauenswürdigen Paketmanagern wie npm folgen. Angreifer erstellen Pakete mit Namen und Beschreibungen, die legitime Tools imitieren oder hochwertige Dienstleistungen wie kostenlosen KI-Zugang oder Sicherheitsaudits anbieten. Sobald ein Entwickler diese Pakete installiert, führt der bösartige Code während der Installation oder Laufzeit aus und lädt häufig zusätzliche Payloads von externen Servern herunter.

Das Model Context Protocol (MCP) ist ein aufkommender Standard, der KI-Agenten die Interaktion mit externen Tools und Datenquellen ermöglicht. Durch die Registrierung eines bösartigen MCP-Servers können sich Angreifer in den Entscheidungsprozess eines KI-Agenten einschalten. Dies ermöglicht es ihnen nicht nur, die verarbeiteten Daten auszuspionieren, sondern auch falsche Anweisungen oder Tool-Definitionen einzuschleusen, was dazu führen kann, dass der Agent unbeabsichtigte Aktionen ausführt oder sensible Kontextinformationen preisgibt.

Warum das wichtig ist

Für Teams, die ihre eigene Software betreiben, hebt dieser Vorfall das Risiko hervor, Drittanbieter-Entwicklungstools ohne strenge Überprüfung zu integrieren. Das Versprechen von kostenlosem KI-Guthaben oder spezialisierten Sicherheitsscannern kann die Vorsicht senken, sodass Ingenieure ungeprüfte Software installieren. Der Kompromiss geht über einfachen Datendiebstahl hinaus; durch das Kapern des KI-Agenten-Traffics erhalten Angreifer Einsicht in proprietäre Codebasen, interne Diskussionen und strategische Planungsdokumente, die mit KI-Assistenten geteilt werden.

Die technische Raffinesse der Malware zeigt eine Verlagerung hin zum Ziel des Entwicklungsworkflows selbst. Der Windows-Loader deaktiviert aktiv Sicherheitsüberwachungsfunktionen, während die macOS-Komponente Social Engineering nutzt, um erhöhte Berechtigungen zu erhalten. Das bedeutet, dass standardmäßiger Endpoint-Schutz blind sein könnte, wenn die Malware erfolgreich geladen wird, was die Erkennung erschwert, bis Datenexfiltration beobachtet wird. Darüber hinaus impliziert die Umleitung des KI-Traffics, dass selbst wenn der lokale Rechner bereinigt wird, die historischen Daten, die an angreiferkontrollierte APIs gesendet wurden, bereits kompromittiert sein könnten.

Was Sie tun können

• Überprüfen Sie Ihre npm-Abhängigkeiten regelmäßig und entfernen Sie alle Pakete von unbekannten oder unverifizierten Publishern, insbesondere solche, die kostenlose KI-Dienste anbieten.
• Überwachen Sie den ausgehenden Netzwerk-Traffic von Entwicklungsmaschinen auf ungewöhnliche Verbindungen zu unbekannten Domains oder unerwarteten API-Endpunkten.
• Beschränken Sie die Berechtigungen von KI-Agenten und Coding-Assistenten, um zu verhindern, dass sie ohne ausdrückliche Genehmigung auf sensible Repositories oder interne Tools zugreifen.
• Implementieren Sie strikte Allow-Listing für Model Context Protocol-Server, um sicherzustellen, dass Agenten nur mit vertrauenswürdigen, verifizierten Diensten verbinden.
• Nutzen Sie isolierte Umgebungen oder Container zum Testen neuer Entwicklungstools und Skripte, bevor Sie diese auf primären Arbeitsstationen installieren.
• Schulen Sie Teammitglieder über die Risiken bei der Installation von CLI-Tools aus Social-Media-Links oder unaufgeforderten Investitionsangeboten.