Eine staatlich gesteuerte Hackergruppe aus Nordkorea hat eine mehrstufige Angriffskampagne gegen die Open-Source-Plattform npm gestartet. Im Visier: axios, eine JavaScript-Bibliothek mit über 100 Millionen wöchentlichen Downloads. Die Angreifer schleusten Schadcode in weit verbreitete Softwarepakete ein – und gefährden damit Entwicklerteams weltweit, auch in Deutschland.
Von der Generalprobe zum Großangriff
Die Infiltration begann bereits im März 2025 mit der Kompromittierung eines kleinen Pakets namens typo-crypto. Forscher von Amazon Threat Intelligence bezeichnen diese Phase als Generalprobe. Die Täter testeten ihre Methoden, bevor sie zu größeren Zielen übergingen. Im September 2025 übernahmen sie die Kontrolle über die Maintainer-Konten von debug und chalk – zwei fundamentalen Bibliotheken im JavaScript-Ökosystem.
Die Wucht des Angriffs wurde schnell deutlich. Laut Analysen der Sicherheitsfirma Wiz war innerhalb von nur zwei Stunden nach Veröffentlichung der manipulierten Updates etwa jede zehnte Cloud-Umgebung betroffen. Im März 2026 schlugen die Hacker dann bei axios zu. Sie nutzten das Vertrauen, das sie durch frühere Kompromittierungen aufgebaut hatten, um schädliche Updates in eine Bibliothek mit enormer Reichweite einzuschleusen.
KI als Waffe im Cyberkrieg
Die nordkoreanischen Angreifer setzten zunehmend künstliche Intelligenz ein, um ihre Attacken zu perfektionieren. Generative KI half ihnen, überzeugenden Code, professionelle Dokumentationen und falsche Identitäten zu erstellen. Damit täuschten sie Paket-Maintainer und Entwickler. Besonders perfide: sogenannte Package-Hallucination-Angriffe. Dabei nutzen die Hacker aus, wie KI-Code-Assistenten Bibliotheken vorschlagen – und bringen Entwickler so dazu, schädliche Pakete zu installieren.
Die Verbindung von künstlicher Intelligenz und Cyberangriffen stellt Unternehmen vor völlig neue rechtliche und technische Herausforderungen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und neuen Bedrohungen Unternehmer im Kontext von KI und Sicherheit jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt verstehen
Die technische Umsetzung war ausgeklügelt. Die Angreifer platzierten eine Datei namens core.js in den kompromittierten Paketen. Diese blieb inaktiv, bis sie einen bestimmten Zahlenwert erhielt. Erst dann aktivierte sich die Schadsoftware und kontaktierte einen Kommando-Server. Die Malware lief plattformunabhängig – auf Windows, macOS und Linux gleichermaßen.
Milliardenschaden durch Cyberkriminalität
Die Kampagne ist Teil einer Welle nordkoreanischer Cyberangriffe, die vor allem auf finanzielle Gewinne abzielen. Die erste Jahreshälfte 2026 war laut Daten von Blockaid und TRM Labs die aktivste Periode für Kryptowährungs-Diebstähle seit Beginn der Aufzeichnungen: 212 bestätigte Vorfälle mit einem Gesamtschaden von 1,1 Milliarden Dollar. Nordkoreanische Hacker waren für rund 66 Prozent dieser Verluste verantwortlich – etwa 643 Millionen Dollar.
Zu den größten Beutezügen zählen der Diebstahl von 292 Millionen Dollar von KelpDAO und 285 Millionen Dollar von Drift Protocol. Parallel zu den Amazon-Erkenntnissen veröffentlichte die südkoreanische Regierung am 30. Juli 2026 eine gemeinsame Cyberwarnung zur Lazarus-Gruppe. Diese Untergruppe setzt auf Phishing-Mails und sogenannte Watering-Hole-Angriffe auf Nachrichten- und Krankenhaus-Webseiten.
Immer raffiniertere Methoden wie Phishing und Manipulationstaktiken führen weltweit zu Rekord-Schäden in Unternehmen. Erfahren Sie im kostenlosen Anti-Phishing-Paket, wie Sie Ihre Organisation proaktiv absichern und die psychologischen Tricks der Cyberkriminellen entlarven können. Kostenloses Anti-Phishing-Paket herunterladen
Ransomware gegen Krankenhäuser
Die Angreifer nutzen gezielt Sicherheitslücken in veralteter Software aus. Häufig locken sie Opfer mit gefälschten Jobangeboten, die Links zu manipulierten GitHub-Repositories enthalten. Ziel ist der Diebstahl von Zugangsdaten und sensiblen Dokumenten.
Symantec-Berichte zeigen zudem, dass eine weitere Lazarus-Untergruppe Medusa-Ransomware gegen US-Gesundheitseinrichtungen und kritische Infrastruktur einsetzt. Die erpressten Gelder fließen laut Geheimdiensterkenntnissen in weitere Spionageaktionen gegen Verteidigungs- und Technologieunternehmen in den USA, Südkorea und Taiwan.
