Nordkoreanische Hackergruppe für Angriffe auf Open-Source-Software verantwortlich

Amazon deckt nordkoreanische Cyberangriffe auf Open-Source-Software auf

Die Cybersicherheitslandschaft wird zunehmend komplexer, und die jüngsten Enthüllungen von Amazon Threat Intelligence unterstreichen dies eindrücklich. Das Unternehmen hat eine Verbindung zwischen einer Reihe von Supply-Chain-Angriffen auf weit verbreitete Open-Source-Softwarepakete und einer nordkoreanischen Hackergruppe hergestellt. Diese Erkenntnisse sind von erheblicher Relevanz für Unternehmen, die auf Open-Source-Komponenten in ihrer Softwareentwicklung angewiesen sind.

Zuschreibung der Angriffe an Sapphire Sleet

Amazon hat die Verantwortung für die Kompromittierung mehrerer Node Package Manager (NPM)-Bibliotheken der nordkoreanischen Bedrohungsgruppe Sapphire Sleet zugeschrieben. Diese Gruppe ist auch unter Namen wie BlueNoroff, Stardust Chollima, CageyChameleon und Alluring Pisces bekannt und wird oft als Ableger der Lazarus Group betrachtet, die dem Aufklärungsbüro (RGB) Nordkoreas zugeordnet ist.

Die Analyse von Amazon Threat Intelligence basiert auf der Untersuchung gemeinsamer Taktiken, Techniken und Verfahren (TTPs) über verschiedene Angriffskampagnen hinweg. Dazu gehören die Verwendung trojanisierter NPM-Pakete, der Einsatz von Post-Install-Hooks (Skripte, die automatisch bei der Installation eines Pakets ausgeführt werden) und die Wiederverwendung von Code.

Betroffene NPM-Pakete und der zeitliche Ablauf

Die von den Angriffen betroffenen NPM-Bibliotheken umfassen:

• Typo-crypto: Dieses Paket wurde im März 2025 kompromittiert und wird von Amazon als „Probelauf“ für die Hackergruppe angesehen. Die relativ geringe Bekanntheit des Pakets ermöglichte es den Angreifern, ihre Methoden zu testen, ohne sofort größere Aufmerksamkeit zu erregen.
• Debug und Chalk: Im September desselben Jahres wurden die weit verbreiteten Pakete Debug und Chalk angegriffen. Dies führte innerhalb von zwei Stunden zu einer Beeinträchtigung von schätzungsweise 10 % der Cloud-Umgebungen, die diese Pakete nutzten.
• Axios: Im März 2026 wurde Axios, ein populärer HTTP-Client für JavaScript, zum Ziel. Bei dieser Kompromittierung wurden zwei neue NPM-Pakete mit einer bösartigen Abhängigkeit injiziert, die sich mit Command-and-Control (C2)-Servern verbanden.

Die Tatsache, dass sich die Angriffe über einen Zeitraum von mehr als einem Jahr erstreckten und sich von weniger bekannten zu sehr populären Bibliotheken entwickelten, deutet auf eine methodische und eskalierende Vorgehensweise der Angreifer hin.

Angriffsmethoden und Motivation

Interessanterweise nutzten die Angreifer keine Zero-Day-Exploits oder direkte Hacks des NPM-Ökosystems. Stattdessen setzten sie auf Social Engineering und den Diebstahl von Anmeldeinformationen. Sie bauten offenbar Beziehungen zu den Maintainern der Pakete auf, um deren Zugangsdaten zu erlangen und dann bösartige Updates über die vertrauenswürdigen Konten zu veröffentlichen. Dieser Ansatz unterstreicht die Bedeutung von menschlichen Faktoren in der Cybersicherheit und die Notwendigkeit robuster Authentifizierungs- und Zugriffskontrollmechanismen.

Die Motivation hinter diesen Angriffen wird als finanzieller Gewinn eingestuft. Die nordkoreanische Regierung ist bekannt dafür, Cyberangriffe zur Generierung von Einnahmen zu nutzen, insbesondere durch Kryptowährungsdiebstahl. Die Hackergruppe Sapphire Sleet ist zudem mit Nordkoreas Schema verbunden, externe IT-Mitarbeiter einzusetzen, um Gelder für das Regime zu beschaffen.

Implikationen für die B2B-Zielgruppe

Für Unternehmen, die auf Open-Source-Software setzen, sind diese Erkenntnisse von entscheidender Bedeutung. Sie verdeutlichen die Notwendigkeit einer umfassenden Supply-Chain-Sicherheitsstrategie. Dazu gehören:

• Regelmäßige Überprüfung von Abhängigkeiten: Unternehmen sollten ihre Software-Lieferkette kontinuierlich auf Schwachstellen und potenzielle Kompromittierungen überwachen.
• Stärkung der Authentifizierung: Der Schutz von Entwicklerkonten und der Einsatz von Multi-Faktor-Authentifizierung sind unerlässlich, um Social-Engineering-Angriffe zu erschweren.
• Analyse von Verhaltensmustern: Die Erkennung ungewöhnlicher Aktivitäten in Open-Source-Paketen oder bei deren Maintainern kann frühzeitig auf eine Bedrohung hinweisen.
• Sensibilisierung der Mitarbeiter: Schulungen zum Thema Social Engineering und Phishing sind entscheidend, um die menschliche Schwachstelle zu minimieren.

Die Rolle von generativer KI in der Bedrohungslandschaft

Amazon hat in seiner Analyse auch darauf hingewiesen, dass generative KI bereits jetzt die Art und Weise verändert, wie bösartige Softwarepakete aussehen, und wie Bedrohungsakteure beginnen, KI-basierte Codesysteme zu untersuchen. Dies deutet auf eine zukünftige Entwicklung hin, in der KI sowohl zur Erstellung als auch zur Verteidigung gegen Cyberangriffe eingesetzt werden könnte. Für Unternehmen bedeutet dies, dass sie ihre Sicherheitsstrategien kontinuierlich an die sich entwickelnden Technologien anpassen müssen, um relevanten Schutz zu gewährleisten.

Fazit

Die Zuschreibung der jüngsten NPM-Angriffe an eine nordkoreanische Hackergruppe durch Amazon unterstreicht die anhaltende Bedrohung durch staatlich unterstützte Akteure im Cyberspace. Die verwendeten Methoden – Social Engineering und der Diebstahl von Anmeldeinformationen – zeigen, dass nicht immer hochkomplexe technische Exploits erforderlich sind, um erhebliche Schäden zu verursachen. Für Unternehmen ist es von größter Bedeutung, ihre Sicherheitsmaßnahmen in der gesamten Software-Lieferkette zu stärken und sich der sich ständig weiterentwickelnden Bedrohungslandschaft bewusst zu sein. Nur durch proaktive Maßnahmen und eine kontinuierliche Anpassung der Sicherheitsstrategien kann das Risiko von Supply-Chain-Angriffen effektiv minimiert werden.

Bibliographie

• Amazon identifies North Korean hacker group behind open-source supply chain attacks. (2026, 29. Juli). AWS Security Blog. Verfügbar unter: https://aws.amazon.com/blogs/security/amazon-identifies-north-korean-hacker-group-behind-open-source-supply-chain-attacks/
• Toulas, B. (2026, 30. Juli). Amazon links Debug, Chalk NPM supply-chain attacks to North Korean hackers. BleepingComputer. Verfügbar unter: https://www.bleepingcomputer.com/news/security/amazon-links-debug-chalk-npm-supply-chain-attacks-to-north-korean-hackers/
• Page, C. (2026, 30. Juli). Amazon links four poisoned npm packages to one North Korean crew. The Register. Verfügbar unter: https://www.theregister.com/cyber-crime/2026/07/30/amazon-links-four-poisoned-npm-packages-to-one-north-korean-crew/5281120
• Otto, G. (2026, 29. Juli). A little-known npm package was North Korea's warm-up act for the axios hack. CyberScoop. Verfügbar unter: https://cyberscoop.com/amazon-north-korea-open-source-software-attacks/
• Heaton, R. (2026, 30. Juli). Amazon pins multiple open source compromises on North Korea. Computer Weekly. Verfügbar unter: https://www.computerweekly.com/news/366646561/Amazon-pins-multiple-open-source-compromises-on-North-Korea
• Daws, R. (2026, 30. Juli). Amazon ties DPRK hackers to axios and three other NPM attacks. Developer Tech. Verfügbar unter: https://www.developer-tech.com/news/amazon-ties-dprk-hackers-axios-and-three-other-npm-attacks/
• Defense One. (2026, 29. Juli). Amazon uncovers broad North Korean hacking campaign against open-source software. Verfügbar unter: https://www.defenseone.com/threats/2026/07/amazon-uncovers-broad-north-korean-hacking-campaign-against-open-source-software/415110/
• Muncaster, P. (2026, 31. Juli). AWS Blames North Korean Group for npm Supply Chain Attacks. Infosecurity Magazine. Verfügbar unter: https://www.infosecurity-magazine.com/news/aws-north-korea-axios-npm-supply/
• SC Media. (2026, 31. Juli). Amazon attributes axios, debug, chalk NPM attacks to DPRK’s Sapphire Sleet. Verfügbar unter: https://www.scworld.com/news/amazon-attributes-axios-debug-chalk-npm-attacks-to-dprks-sapphire-sleet
• Nextgov/FCW. (2026, 29. Juli). Amazon uncovers broad North Korean hacking campaign against open-source software. Verfügbar unter: https://www.nextgov.com/cybersecurity/2026/07/amazon-uncovers-broad-north-korean-hacking-campaign-against-open-source-software/415099/