Ein bösartiges npm-Paket, das sich als WhatsApp-API ausgibt, hat nach 56,000 Installationen unbemerkt Konten übernommen.

Startseite » Python » Ein bösartiges npm-Paket, das sich als WhatsApp-API ausgibt, hat nach 56,000 Installationen unbemerkt Konten übernommen.

Ein scheinbar harmloses npm-Paket, das als WhatsApp-Web-API-Hilfsprogramm beworben wurde, hat unbemerkt Chats, Kontakte und Zugangsdaten von ahnungslosen Entwicklern und Nutzern abgegriffen. Die unter dem Namen „lotusbail“ veröffentlichte Bibliothek war monatelang im offiziellen npm-Repository verfügbar und erreichte über 56,000 Downloads, bevor sie ernsthafte Aufmerksamkeit erregte.

Laut mehreren unabhängigen Berichten und einer detaillierten Untersuchung von Koi Security verhält sich das Paket oberflächlich betrachtet wie ein normales WhatsApp-Automatisierungstoolkit. Im Hintergrund fängt es jedoch jede Nachricht ab, sammelt Kontodaten und richtet eine dauerhafte Hintertür zu kompromittierten WhatsApp-Konten ein. Da das schädliche Verhalten in legitime Funktionen integriert ist, konnten viele Projekte es einbinden, ohne dass ihnen etwas auffiel.

Wie das gefälschte WhatsApp Web API-Paket in npm eingeschleust wurde

Die schädliche Bibliothek tauchte etwa im Mai 2025 auf npm auf. Sie wurde von einem Nutzer namens „seiren_primrose“ hochgeladen und als praktische API zur Interaktion mit WhatsApp Web beschrieben. Tatsächlich handelt es sich um eine Abspaltung des beliebten Open-Source-Projekts @whiskeysockets/baileys , einer TypeScript/JavaScript-Bibliothek, die eine WebSocket-basierte API zum Erstellen von Bots und Automatisierungen für WhatsApp Web bietet.

Durch die detailgetreue Nachahmung der öffentlichen Benutzeroberfläche und des Verhaltens von Baileys stellte der Angreifer sicher, dass Entwickler das Paket mit minimalen Änderungen in bestehende Arbeitsabläufe integrieren konnten . Dokumentation und Namensgebung wurden so gestaltet, dass sie legitim wirkten, wodurch die Wahrscheinlichkeit verringert wurde, dass ausgelastete Teams die Herkunft hinterfragten – insbesondere angesichts der Tatsache, dass die Nutzungszahlen von npm oft als Indikator für Vertrauen dienen.

Innerhalb von etwa einem halben Jahr erreichte das Paket über 56,000 Installationen und Hunderte von wöchentlichen Downloads . Während dieser Zeit blieb es über die offizielle Registry auffindbar und installierbar und entwickelte sich so zu einer unbemerkten Bedrohung für die Lieferkette jeder Anwendung, die WhatsApp-Funktionen via JavaScript integrierte.

Die Forscher betonen, dass nichts am grundlegenden Veröffentlichungsprozess von npm diesen Upload verhindert hat: Jeder Nutzer kann ein Paket mit einem professionell klingenden Namen veröffentlichen, die API eines bekannten Projekts kopieren und so sofort Sichtbarkeit im Ökosystem erlangen. Genau diese Tatsache nutzten die Angreifer in diesem Fall aus.

Missbrauch des WebSocket-Clients zum Abfangen von WhatsApp-Daten

Der Kern des Angriffs liegt darin, wie lotusbail den legitimen WebSocket-Client, der mit dem Webprotokoll von WhatsApp kommuniziert, manipuliert . Anstatt eine neue Schnittstelle von Grund auf zu entwickeln, legt das Paket einen benutzerdefinierten Container um die Standard-WebSocket-Implementierung von Baileys, sodass jede ein- und ausgehende Nachricht zunächst die Schadsoftware passieren kann.

Die Analyse von Koi Security erklärt, dass die Bibliothek, sobald sich ein Entwickler bei WhatsApp authentifiziert, sofort Authentifizierungstoken und Sitzungsschlüssel abgreift . Ab diesem Zeitpunkt wird jede Nachricht, die über die Verbindung fließt – ob eingehend oder ausgehend – transparent an die Infrastruktur des Angreifers gespiegelt.

Diese Spiegelung geht über einfache Textchats hinaus. Das Programm ist so konzipiert, dass es Nachrichtenverläufe, Kontaktlisten und alle angehängten Mediendateien , einschließlich Fotos, Videos, Audiodateien und Dokumente, abgreift. Im Prinzip klont es die gesamte Konversationsumgebung des Nutzers: mit wem er spricht, was er sendet und was er empfängt.

Entscheidend ist, dass all dies das normale Verhalten, das Entwickler erwarten, nicht beeinträchtigt. Die offizielle Funktionalität scheint weiterhin einwandfrei zu funktionieren, Bots reagieren, Automatisierungen laufen wie gewohnt und WhatsApp-Sitzungen bleiben stabil. Die Malware fügt lediglich einen, wie ein Forscher es beschrieb, „zweiten, unsichtbaren Empfänger für alles“ hinzu , wodurch eine Entdeckung durch zufällige Beobachtung äußerst unwahrscheinlich wird.

All dies wird durch die normale Nutzung der API ausgelöst. Das Opfer muss keine zusätzlichen Befehle ausführen oder spezielle Optionen aktivieren; Authentifizierung und routinemäßige Nachrichtenverarbeitung genügen, um die Spionagefunktionen zu aktivieren . Dies ist einer der Gründe, warum die Kampagne monatelang unentdeckt bleiben konnte.

Unauffälliger Hintertürzugriff: Koppeln des Angreifergeräts

Neben dem Datendiebstahl bietet lotusbail eine weitaus heimtückischere Funktion: Es koppelt unbemerkt ein vom Angreifer kontrolliertes Gerät mit dem WhatsApp-Konto des Opfers . Dabei nutzt es denselben Kopplungsprozess für mehrere Geräte, den legitime Nutzer verwenden, um weitere Smartphones oder Desktop-Computer mit ihrem Konto zu verbinden.

Während des Anmeldevorgangs löst die Schadsoftware eine versteckte Kopplungsroutine aus. Forscher berichten, dass der Code eine achtstellige Zufallszeichenkette generiert und diese in den Geräteverknüpfungsmechanismus von WhatsApp einspeist . Dadurch wird der Standardprozess durch einen fest im Schadprogramm verankerten Kopplungsablauf umgangen.

Sobald diese Kopplung abgeschlossen ist, wird das Gerät des Angreifers effektiv zu einem weiteren autorisierten Client des Zielkontos. Ab diesem Zeitpunkt können Angreifer Nachrichten lesen und senden, Kontakte einsehen und auf Medien zugreifen, als wären sie der Kontoinhaber – und dies, ohne dass das ursprüngliche Schadprogramm noch vorhanden sein muss.

Genau das macht den Angriff so hartnäckig. Selbst wenn ein sicherheitsbewusster Entwickler die verdächtige Abhängigkeit entdeckt und aus dem Projekt entfernt , wird die Kompromittierung nicht automatisch rückgängig gemacht. Der schädliche npm-Code mag zwar verschwunden sein, aber das verknüpfte Gerät des Angreifers bleibt aktiv, bis es explizit aus der Liste der vertrauenswürdigen WhatsApp-Sitzungen entfernt wird.

Experten betonen, dass diese Eigenschaft den Vorfall zu mehr als einer einfachen Infektion auf Paketebene macht: Sie verwandelt einen npm-Fehler in eine vollständige Kontoübernahme, die auch nach der Bereinigung bestehen bleibt und Endbenutzer noch lange nach der Aktualisierung der anfälligen Software gefährden kann.

Was genau die Schadsoftware stiehlt – und wie sie es verbirgt.

Technische Aufzeichnungen von Koi Security und anderen Forschern zeichnen ein detailliertes Bild der gesammelten Daten. Das Lotusbail-Paket ist so programmiert, dass es eine Vielzahl sensibler WhatsApp-Artefakte erfasst , weit über den reinen Nachrichtentext hinaus.

Zu den angegriffenen Daten gehören Authentifizierungstoken, Sitzungsschlüssel und Kopplungscodes, die zur Aufrechterhaltung der Verbindung zwischen Clients und den WhatsApp-Servern verwendet werden. Mit diesen Daten können Angreifer Sitzungen wiederherstellen oder aufrechterhalten, selbst wenn bestimmte Geräte neu gestartet oder die Software neu installiert wird.

Die Schadsoftware erfasst zudem vollständige Kontaktlisten und Gruppenzugehörigkeiten , wodurch Angreifer das soziale Netzwerk eines Opfers abbilden, wichtige Ziele identifizieren oder weitere Konten ins Visier nehmen können. In Kombination mit den Nachrichteninhalten erhalten die Angreifer so einen umfassenden Überblick über Beziehungen, Geschäftsprozesse und private Unterhaltungen.

Auch über WhatsApp ausgetauschte Dateien sind gefährdet. Da der Wrapper jeden WebSocket-Frame abfängt, kann er Metadaten und Nutzdaten von Fotos, Videos, Sprachnachrichten und Dokumenten erfassen, bevor diese vom Client entschlüsselt und dargestellt werden. Diese Daten werden anschließend für die Übertragung an vom Angreifer kontrollierte Server vorbereitet.

Um eine einfache Erkennung auf Netzwerkebene zu verhindern, verwendet das Paket eine vollständig angepasste Implementierung der RSA-Verschlüsselung . Bevor die erfassten Daten die kompromittierte Umgebung verlassen, werden sie lokal verschlüsselt. Das bedeutet, dass Intrusion-Detection-Systeme oder Netzwerkmonitore, die auf Deep Packet Inspection basieren, kaum mehr als undurchsichtige, verschlüsselte Datenblöcke sehen, die zu entfernten Endpunkten übertragen werden.

Darüber hinaus verfügt die Malware über Mechanismen zur Verhinderung von Debugging-Vorgängen, die Sicherheitsanalysten die Arbeit erschweren sollen . Berichten zufolge erkennt die Malware gängige Debugging- oder Analyseszenarien und reagiert darauf, indem sie den Code in eine Endlosschleife versetzt. Dadurch wird der Prozess effektiv blockiert und die dynamische Überprüfung erheblich erschwert.

Besteht weiterhin, selbst nach der Deinstallation des npm-Pakets.

Ein besonders überraschender Aspekt dieses Vorfalls ist, dass das Entfernen der schädlichen Abhängigkeit aus einem Projekt betroffene WhatsApp-Konten nicht automatisch sichert . Die durch den Kopplungsprozess erstellte dauerhafte Verbindung stellt sicher, dass der Zugriff des Angreifers auch nach der Deinstallation bestehen bleibt.

Sicherheitsteams heben hervor, dass lotusbail die Funktionsweise des Multi-Device-Modells von WhatsApp ausnutzt: Sobald ein Gerät erfolgreich verknüpft wurde, empfängt es weiterhin Nachrichten und Kontoaktualisierungen, bis der Besitzer die Verknüpfung manuell in den App-Einstellungen aufhebt. Es gibt kein automatisches Timeout, das an den Lebenszyklus des npm-Pakets oder der Host-Anwendung gekoppelt ist.

Daher können selbst gewissenhafte Entwickler, die die Bibliothek identifizieren und löschen, ihre Nutzer einem Sicherheitsrisiko aussetzen, wenn sie diese nicht zusätzlich anweisen, die Liste der verknüpften Geräte in WhatsApp zu überprüfen . Jede unbekannte Sitzung in dieser Liste sollte umgehend getrennt werden.

Die Ermittler betonen, dass diese Nuance die Herangehensweise von Unternehmen an die Behebung von Sicherheitsvorfällen verändert. Es genügt nicht mehr, Schadcode aus Build-Pipelines und Servern zu entfernen ; die Reaktion auf Sicherheitsvorfälle muss sich auch auf das Anwendungsökosystem erstrecken, mit dem der Code interagiert hat – in diesem Fall die WhatsApp-Konten, die mit kompromittierten Sitzungen verknüpft waren.

In der Praxis müssen betroffene Projekte möglicherweise die Benutzer benachrichtigen und die WhatsApp-Zugangsdaten rotieren , die Sitzungen mithilfe bekanntermaßen zuverlässiger Tools wiederherstellen und überprüfen, ob keine von Angreifern kontrollierten Geräte mehr auf einem in der Produktion oder im Test verwendeten Konto autorisiert sind.

Wer hat Lotusbail aufgedeckt und wie wurde es untersucht?

Die Kampagne wurde dank Koi Security, unter der Leitung des Forschers Tuval Admoni , aufgedeckt , der eine detaillierte Analyse des Verhaltens des Pakets veröffentlichte. Zusätzliche Kommentare des Forschers Idan Dardikman trugen dazu bei, zu verdeutlichen, dass sich die Malware wie eine transparente Hülle um den WebSocket-Client verhält und sich aktiviert, sobald die normale Authentifizierung und der Nachrichtenaustausch beginnen.

Admoni fasste die Bedrohung unmissverständlich zusammen: Das Paket stiehlt WhatsApp-Zugangsdaten, fängt jede Nachricht ab, sammelt Kontakte, installiert eine permanente Hintertür und verschlüsselt alle Daten, bevor es sie an einen vom Angreifer kontrollierten Server sendet. Diese Kombination aus Heimlichkeit, Reichweite und Persistenz macht aus einer einfachen Belästigung einen schwerwiegenden Vorfall in der Lieferkette.

Eine rein statische Codeanalyse reichte nicht aus, um das Risiko zu erkennen. Da die Codebasis dieselben Schnittstellen und dasselbe grundlegende Verhalten wie legitime Bibliotheken aufweist, tragen reputationsbasierte Indikatoren wie Downloadzahlen, Sternebewertungen oder einfaches Linting kaum dazu bei, sie von authentischen Werkzeugen zu unterscheiden . Das Paket konnte trotz seiner schädlichen Ergänzungen unbemerkt im Umlauf bleiben.

Die Forscher stellten außerdem fest, dass die in die Malware integrierten Anti-Analyse-Techniken das Reverse Engineering verlangsamten und eine sorgfältigere Instrumentierung sowie Sandboxing erforderten, um ihre Fähigkeiten vollständig zu erfassen. Zum Zeitpunkt der Veröffentlichung des Berichts war die Kampagne bereits mehrere Monate aktiv.

Dieser Fall reiht sich rasch in die wachsende Liste von npm-basierten Angriffen ein, die verdeutlichen, wie offene Paketdatenbanken zu einem idealen Ziel für Bedrohungen der Lieferkette geworden sind . Zwar können Plattformen mit dem Entfernen bekanntermaßen schädlicher Pakete reagieren, doch die anfängliche Erkennung liegt oft weiterhin in den Händen unabhängiger Sicherheitsteams und wachsamer Entwickler.

Breitere Welle von Lieferketten-Malware zielt auf Entwickler ab

Die Entdeckung von lotusbail fiel zeitlich mit Enthüllungen über andere bösartige Softwarepakete zusammen, die auf Entwickler-Ökosysteme abzielen , was unterstreicht, dass dieser Vorfall Teil eines breiteren Trends und keine einmalige Anomalie ist.

Parallel dazu veröffentlichte das Sicherheitsunternehmen ReversingLabs detaillierte Informationen zu 14 betrügerischen NuGet-Paketen, die sich als Nethereum- und andere Kryptowährungsbibliotheken in der .NET-Welt ausgaben. Ähnlich wie im Fall des WhatsApp-npm-Pakets waren diese Pakete so konzipiert, dass sie sich nahtlos in die legitimen Tools von Entwicklern einfügen, die mit Blockchain und digitalen Assets arbeiten.

Den Ergebnissen zufolge leiteten die NuGet-Pakete Gelder aus Kryptowährungstransaktionen auf von Angreifern kontrollierte Wallets um oder extrahierten unbemerkt private Schlüssel und Seed-Phrasen, sobald die Überweisungen 100 US-Dollar überstiegen. Paketnamen wie „binance.csharp“, „Bitcoin Core“, „bitapi.net“, „coinbase.api.net“, „googleads.api“, „nbitcoin.unified“, „nethereumnet“, „nethereumunified“, „nethereum.all“, „solananet“, „solnetall“, „solnetall.net“, „solnetplus“ und „solnetunified“ wurden so gewählt, dass sie an bekannte Tools und Dienste erinnern.

Um Vertrauen aufzubauen, sollen die Betreiber dieser Bibliotheken die Downloadzahlen künstlich erhöht und häufige Updates veröffentlicht haben , um aktive Wartung und Popularität vorzutäuschen. Diese Social-Engineering-Methode ähnelt der Vorgehensweise von lotusbail, das auf die Sichtbarkeit von npm und den guten Ruf des Baileys-Projekts setzte, um an Zugkraft zu gewinnen.

Experten beider Forschungsteams sind sich einig: Lieferkettenangriffe auf Entwickler nehmen nicht ab, sondern werden immer raffinierter . Angreifer haben gelernt, gezielt die Tools anzugreifen, auf die Entwickler täglich angewiesen sind – sei es für Messaging-Integrationen, Finanztransaktionen oder die allgemeine Infrastruktur.

Warum konventionelle Verteidigungsstrategien bei Bedrohungen der Lieferkette von neuen Rohstoffen (npm) Schwierigkeiten haben

Lotusbail verdeutlicht zudem die Grenzen vieler gängiger Schutzmechanismen für Software-Pipelines. Traditionelle Ansätze wie statische Codeanalyse, einfaches Linting, Signaturprüfungen und Reputationsmetriken sind zwar oft darauf ausgelegt, offensichtliche Warnsignale zu erkennen, können aber subtile Schadsoftware in ansonsten gültigen Paketen leicht übersehen.

Da die Bibliothek die erwartete WhatsApp Web API-Schnittstelle originalgetreu implementiert, erkennen automatisierte Tools möglicherweise nur eine leicht modifizierte Abspaltung eines als sicher bekannten Repositorys . Selbst manuelle Stichproben decken die Gefahr unter Umständen nicht sofort auf, insbesondere wenn der schädliche Code mit legitimen Netzwerk- und Verschlüsselungsroutinen verknüpft ist.

Auch reputationsbasierte Systeme schneiden hier nicht besser ab. Viele Organisationen setzen unbewusst hohe Downloadzahlen und häufige Updates mit Sicherheit gleich , doch in diesem Fall haben sich diese Signale entweder im Laufe der Zeit natürlich angesammelt oder könnten vom Angreifer künstlich verstärkt worden sein. Popularität garantiert keine Integrität, wenn jeder ein täuschend echt aussehendes Paket mit einer überzeugenden Beschreibung veröffentlichen kann.

Die Anti-Debugging-Schicht erschwert die dynamische Analyse zusätzlich. Sobald ein Paket erkennt, dass es unter Instrumentierung läuft oder an einen Debugger angebunden ist und dadurch Endlosschleifen oder Abstürze auslöst , fällt es automatisierten Sandboxes schwer, ein vollständiges Verhaltensprofil zu erstellen. Dies wiederum verlangsamt die Signaturerstellung und die öffentliche Bekanntgabe.

Diese Herausforderungen verdeutlichen den Bedarf an einer robusteren, verhaltensorientierten Überwachung in Produktionsumgebungen , in denen verdächtige Netzwerkflüsse, unerwartete Verschlüsselungsmuster oder anomale Datenzugriffe erkannt werden können, selbst wenn statische Prüfungen ein Paket zunächst für zulässig erklären.

Was Entwickler und Organisationen jetzt tun können

Sicherheitsexperten, die den Lotusbail-Vorfall untersuchten, betonen, dass Entwickler Drittanbieterpakete als nicht vertrauenswürdigen Code behandeln sollten, selbst wenn diese von großen Paketquellen wie npm stammen . Praktische Maßnahmen können dazu beitragen, das Risiko ähnlicher Bedrohungen in Zukunft zu verringern.

Zunächst werden Teams dazu angehalten, die Herkunft kritischer Abhängigkeiten zu überprüfen . Dazu gehört, die offizielle Dokumentation oder Repositories auf empfohlene Paketnamen zu prüfen, die Identität der Herausgeber zu bestätigen und nach Möglichkeit Bibliotheken zu bevorzugen, die von etablierten Organisationen oder bekannten Betreuern verwaltet werden.

Zweitens empfehlen Experten, Laufzeitüberwachung und Anomalieerkennung für sensible Integrationen wie Messaging-APIs, Zahlungsmodule oder kryptografische Tools einzuführen. Ungewöhnliche ausgehende Verbindungen, unerwartete Verschlüsselungsaktivitäten oder Datenflüsse, die nicht dem dokumentierten Verhalten entsprechen, können frühe Anzeichen einer kompromittierten Abhängigkeit sein.

Drittens sollten Organisationen ein Verzeichnis aller verwendeten Drittanbieterpakete führen und Änderungen im Zeitverlauf nachverfolgen . Das Festlegen von Versionen, die Überprüfung von Änderungsprotokollen und die Durchführung von Sicherheitsbewertungen vor größeren Aktualisierungen können dazu beitragen, problematischen Code zu erkennen, bevor er in die Produktion gelangt.

Schließlich sollte die Reaktion auf Sicherheitsvorfälle in Fällen, in denen WhatsApp-Integrationen auf der schädlichen npm-Bibliothek basierten, über die reine Codebereinigung hinausgehen. Betroffene Nutzer sollten angewiesen werden, die WhatsApp-Einstellungen zu öffnen, verknüpfte Geräte zu überprüfen und alle unbekannten Sitzungen zu entfernen . Andernfalls kann das gekoppelte Gerät des Angreifers weiterhin uneingeschränkten Zugriff auf Konversationen und Inhalte haben.

Der Fall lotusbail verdeutlicht eindrücklich, dass es nicht mehr ausreicht, einem Paket allein aufgrund seines bekannten Aussehens, Tausender Downloads oder der Ähnlichkeit zu einem populären Projekt zu vertrauen . Da Angreifer zunehmend Entwickler-Ökosysteme ins Visier nehmen, sind die sorgfältige Prüfung von Abhängigkeiten und die genaue Beobachtung des Laufzeitverhaltens unerlässlich geworden, um WhatsApp-Konten – und die darauf basierenden Anwendungen – wirklich sicher zu halten.