English
日本語
한국어
Polski
Nederlands
Español
Français
Português
Italiano
Svenska
// DOSSIER — amazon-links-north-korean-hacking-group-open-source
Amazon verknüpft nordkoreanische Hacking-Gruppe mit koordinierter Open-Source-Supply-Chain-Kampagne
VERÖFFENTLICHT: 31. Jul 2026 22:27Z · SPRACHE: DE
Amazon Threat Intelligence hat eine koordinierte Kampagne einer staatlich gesponserten nordkoreanischen Hacking-Gruppe identifiziert, die auf die globale Open-Source-Software-Lieferkette abzielt. Durch die Verknüpfung von vier großen JavaScript-Paket-Kompromittierungen—typo-crypto, debug, chalk und axios—deckten Forscher eine industrielle Operation auf, die seit Anfang 2025 aktiv ist. Die Angreifer nutzten Social Engineering, um das Vertrauen der Paket-Maintainer zu gewinnen, und konnten so schädlichen Code in Bibliotheken einschleusen, die wöchentlich hunderte Millionen Downloads verzeichnen. Diese Kampagne zielt darauf ab, breiten Zugang zu nachgelagerten Unternehmenssystemen zu erhalten, um Einnahmen für das nordkoreanische Regime zu generieren, internationale Sanktionen zu umgehen und Militärprogramme zu finanzieren.
// Hintergrund
Open-Source-Software basiert auf einem vertrauensbasierten Modell, in der volunteer Maintainer oft nicht über die Ressourcen verfügen, um jeden Beitrag zu prüfen. Nordkorea hat eine lange Geschichte der Nutzung von Cyber-Operationen, einschließlich Kryptowährungsdiebstahl und der Infiltration von IT- ownworker-Infiltration, um seine Wirtschaft unter globalen Sanktionen aufrechtzuerhalten. Der Backdoor-Vorfall bei XZ Utils im Jahr 2024 hat zuvor das extreme Risiko von langfristigem Social Engineering in Open-Source-Projekten hervorgehoben.
// Zentrale Entwicklungen
- Die Kampagne wurde der nordkoreanischen Gruppe zugeordnet, die als Sapphire Sleet, BlueNoroff oder APT38 verfolgt wird.
- Kompromittierungen in vier weit verbreiteten NPM-Paketen identifiziert: typo-crypto, debug, chalk und axios.
- Axios allein hat über 100 Millionen wöchentliche Downloads, während debug und chalk zusammen über 1 Milliarde überschreiten.
- Die Angreifer nutzten Social Engineering, um sich als legitime Mitwirkende auszugeben und Maintainer-Zugriff zu erhalten, um bösartige Updates zu veröffentlichen.
- Warnung vor 'Slopsquatting', bei dem Angreifer Fehler von KI-Codierungsassistenten ausnutzen, um bösartige Pakete zu registrieren und zu verbreiten.
- Amazon startete die Akrites-Initiative mit einer Investition von 12,5 Millionen US-Dollar, um Open-Source-Software gegen KI-gestützte Bedrohungen zu sichern.
// Zeitachse
-
Ursprüngliche Kompromittierung des typo-crypto-Pakets, von Amazon als Generalprobe zum Testen des Playbooks der Gruppe eingestuft.
-
Koordinierte Kompromittierungen der populären debug- und chalk-Bibliotheken, die etwa 10 % der Cloud-Umgebungen betrafen.
-
Einbruch bei einem axios-Paket-Maintainer via Social Engineering, um bösartigen Code in den weit verbreiteten HTTP-Client zu injizieren.
-
Amazon veröffentlicht öffentlich die Ergebnisse, die alle vier Vorfälle mit demselben nordkoreanischen, staatlich gesponserten Akteur verknüpfen.
// Perspektiven
[Amazon Threat Intelligence]
Betrachtet die Kampagne als eine hochentwickelte, staatliche industrielle Operation und plädiert für eine gemeinsame branchenweite Verantwortung und Investitionen in Sicherheitstools.
[U.S. Government Officials]
Besorgt darüber, dass diese Cyber-Operationen eine kritische Einnahmequelle für Nordkorea darstellen, um Kernwaffen- und ballistische Raketenprogramme zu finanzieren, während internationale Sanktionen umgangen werden.
[Cybersecurity Researchers (Wiz/Socket)]
Betonen die schnelle Skalierung der Auswirkungen, wobei festgestellt wurde, dass 1 von 10 Cloud-Umgebungen innerhalb von zwei Stunden nach den Kompromittierungen von debug und chalk betroffen waren.
// Zitate
“Ein erfolgreicher Supply-Chain-Kompromiss kann den Zugang zu Hunderten, wenn nicht mehr, gezielten Intrusionen führen.”
“Sie brechen nicht in die Open-Source- own-Systeme ein, sie nutzen sie so, wie sie konzipiert wurden, nur für einen anderen Zweck.”
“Die Open-Source-Community sucht nach guten Bürgern, weil diese Pakete oft nicht von Personen gepflegt werden, die dafür als Vollzeitjob bezahlt werden.”
