- Das bösartige npm-Paket „https-proxy-utils“ hat den AdaptixC2-Agenten über ein Post-Install-Skript bereitgestellt.
- Bei dem Angriff wurde Typosquatting verwendet, um häufig heruntergeladene Proxy-Dienstprogramme im npm-Ökosystem zu imitieren.
- Die plattformübergreifende Bereitstellung unterstützt Windows, macOS und Linux mit architekturbewussten Payloads.
- Forscher veröffentlichten IoCs und Tipps zur Schadensbegrenzung und wiesen darauf hin, dass das Paket aus npm entfernt wurde.
Im Oktober 2025 enthüllten Sicherheitsanalysten von Kaspersky einen Angriff auf die Lieferkette des npm-Ökosystems. Dabei wurde der Post-Exploitation-Agent AdaptixC2 über ein täuschend echt aussehendes Paket namens https-proxy-utils eingeschleust. Das Paket gab sich als Proxy-Hilfsprogramm aus, lud aber während der Installation unbemerkt eine AdaptixC2-Payload herunter und führte sie aus.
Die Operation nutzte klassisches Typosquatting gegen beliebte npm-Module . Durch die Nachahmung von Namen wie http-proxy-agent (~70 Mio. wöchentliche Downloads) und https-proxy-agent (~90 Mio.) sowie durch das Kopieren des Verhaltens von proxy-from-env (~50 Mio.) erhöhte das betrügerische Paket seine Glaubwürdigkeit – bis das versteckte Post-Install-Skript die Kontrolle an AdaptixC2 übergab. Zum Zeitpunkt der Berichterstattung war der Betrüger aus dem npm-Repository entfernt worden.
Plattformübergreifende Nutzlastbereitstellung
Die Ermittler berichten, dass sich das Installationsprogramm an das Host-Betriebssystem anpasste mit unterschiedliche Lade- und PersistenzroutinenUnter Windows wurde der Agent als DLL unter C:\Windows\TasksDas Skript kopierte die legitime msdtc.exe in dieses Verzeichnis und führte es aus, um die bösartige Bibliothek seitlich zu laden – ein Muster, das der MITRE ATT&CK-Technik zugeordnet ist T1574.001 (Entführung der DLL-Suchreihenfolge).
Unter macOS legte das Skript eine ausführbare Datei in Library/LaunchAgents und erstellt eine plist für Autorun. Vor dem Download überprüfte die Logik die CPU-Familie und rief den entsprechenden Build ab, x64 oder ARM, um es an das Zielsystem anzupassen.
Linux-Hosts erhielten eine auf die Architektur abgestimmte Binärdatei in /tmp/.fonts-unix, wobei das Skript Ausführungsberechtigungen für den sofortigen Start festlegt. Das CPU-bewusste Bereitstellung (x64/ARM) stellte sicher, dass der Agent konsistent über verschiedene Flotten hinweg ausgeführt werden konnte.
Plattformübergreifend fungierte der Post-Install-Hook als automatischer Auslöser , sodass nach der Installation des Pakets durch den Entwickler keine manuelle Benutzeraktion mehr erforderlich war – ein wichtiger Grund dafür, dass der Missbrauch der Lieferkette bei Paketmanagern weiterhin so störend ist.
Was AdaptixC2 ermöglicht und warum das wichtig ist
AdaptixC2, das Anfang 2025 erstmals öffentlich vorgestellt und bereits im Frühjahr in böswilliger Absicht eingesetzt wurde, wird als Post-Exploitation-Framework ähnlich wie Cobalt Strike beschrieben . Nach der Installation können Angreifer Fernzugriffe durchführen, Befehle ausführen, Dateien und Prozesse verwalten und verschiedene Persistenzoptionen nutzen.
Diese Funktionen helfen Angreifern, dauerhaften Zugriff zu erlangen, Aufklärung zu betreiben und Folgeaktionen in Entwicklerumgebungen und CI/CD-Infrastrukturen durchzuführen. Kurz gesagt: Eine manipulierte Abhängigkeit kann eine routinemäßige Installation in einen zuverlässigen Ausgangspunkt für die laterale Ausbreitung verwandeln.
Der npm-Vorfall fügt sich auch in ein breiteres Muster ein. Nur wenige Wochen zuvor verbreitete sich der Shai-Hulud-Wurm mittels Post-Install-Techniken auf Hunderte von Paketen und unterstreicht damit, wie Angreifer weiterhin vertrauenswürdige Open-Source-Lieferketten für ihre Zwecke missbrauchen.
Kasperskys Analyse führt die npm-Auslieferung auf einen überzeugenden Betrüger zurück, der echte Proxy-Funktionalität mit versteckter Installationslogik kombinierte. Diese Kombination erschwerte es, die Bedrohung bei flüchtigen Code- oder Paketmetadatenprüfungen zu erkennen.
Praktische Schritte und Indikatoren, die Sie beachten sollten
Organisationen können das Risiko verringern, indem sie die Paketverwaltung verbessern: Überprüfen Sie die genauen Namen vor der Installation, prüfen Sie neue oder wenig verbreitete Repositories sorgfältig und verfolgen Sie Sicherheitswarnungen auf Anzeichen kompromittierter Module. Wo möglich, fixieren Sie Versionen, spiegeln Sie geprüfte Artefakte und sichern Sie Builds mit Policy-as-Code- und SBOM-Prüfungen ab.
Schlüsselpaket und Hashes
- Paketnamen: https-Proxy-Dienstprogramme
- DFBC0606E16A89D980C9B674385B448E – Paket-Hash
- B8E27A88730B124868C1390F3BC42709
- 669BDBEF9E92C3526302CA37DC48D21F
- EDAC632C9B9FF2A2DA0EACAAB63627F4
- 764C9E6B6F38DF11DC752CB071AE26F9
- 04931B7DFD123E6026B460D87D842897
Netzwerkindikatoren
- cloudcenter[.]top/sys/update
- cloudcenter[.]top/macos_update_arm
- cloudcenter[.]top/macos_update_x64
- cloudcenter[.]top/macosUpdate[.]plist
- cloudcenter[.]top/linux_update_x64
- cloudcenter[.]top/linux_update_arm
Während das fehlerhafte npm-Paket entfernt wurde, sollten die Teams Überprüfen Sie die letzten Abhängigkeitsinstallationen, suchen Sie nach den oben genannten Indikatoren und überprüfen Sie Systeme auf unerwartete Binärdateien in C:\Windows\Tasks, Library/LaunchAgentsden /tmp/.fonts-unix – insbesondere dort, wo Post-Installationsskripte durften laufen.
Der AdaptixC2-npm-Fall vereint glaubwürdige Identitätsfälschung, automatisierte plattformübergreifende Bereitstellung und leistungsfähige C2-Tools und veranschaulicht, wie eine einzige Abhängigkeit den Weg zu einem dauerhaften Zugriff ebnen kann; ständige Wachsamkeit bei der Paketauswahl, den Build-Pipelines und der Telemetrie ist unerlässlich, um diese Art von Angriff abzuschwächen.
