Laut Kaspersky-Analysen versteckten Cyberkriminelle im Jahr 2024 insgesamt 14.000 schädliche Pakete in Open-Source-Projekten. Dies entspricht einem Anstieg von 50 Prozent im Vergleich zum Vorjahr. [...]
Open-Source-Software basiert auf Offenheit – der Code ist für jedermann zugänglich, anpassbar und überprüfbar. Doch diese Offenheit ist ein zweischneidiges Schwert: Während sie auf der einen Seite Innovation fördert, können Angreifer die Möglichkeit nutzen, relativ einfach verseuchte Pakete bereitzustellen, die wiederum von Entwicklern genutzt werden. Das zeigt eine aktuelle Analyse von Kaspersky.
Der Analyse zufolge versteckten Cyberkriminelle im Jahr 2024 insgesamt 14.000 schädliche Pakete in Open-Source-Projekten. Dies entspricht einem Anstieg von 50 Prozent im Vergleich zum Vorjahr. Die Experten des Cybersicherheitsanbieters untersuchten 42 Millionen Versionen von Open-Source-Projekten auf Schwachstellen.
„Open-Source-Software ist nach wie vor ein wichtiger Bestandteil vieler moderner Anwendungen. Die Zunahme schädlicher Pakete zeigt jedoch, wie entscheidend es ist, diese regelmäßig auf Sicherheitsrisiken zu überprüfen“, sagt Dmitry Galov, Head of Research Center for Russia and CIS bei Kaspersky’s GReAT. „Angreifer betten aktiv ausgeklügelte Backdoors und Datastealer in beliebte Pakete ein, auf die sich Millionen von Menschen verlassen. Ohne eine rigorose Überprüfung und Echtzeitüberwachung kann ein einziges kompromittiertes Paket eine globale Sicherheitslücke auslösen. Unternehmen müssen ihre Lieferkette sichern, bevor der nächste Angriff auf XZ-Utils-Niveau – wie es bei Linux in 2024 der Fall war – erfolgreich ist.“
Beispiele verseuchter Open-Source-Pakete
2024 wurde eine Backdoor in der beliebten XZ Utils-Kompression für Linux glücklicherweise frühzeitig entdeckt. Diese wurde von einem vertrauenswürdigen Mitwirkenden eingeschleust und hätte potenziell viele Systeme gefährden können.
Kaspersky-Experten fanden zudem im vergangenen Jahr schädliche Python-Pakete wie chatgpt-python oder chatgpt-wrapper to PypI, die auf populäre KI-Tools abzielten und die versuchten, Entwickler zu täuschen.
Des Weiteren wurde im März 2025 ein Angriff der Lazarus Group erkannt, bei dem schädliche npm-Pakete bereitgestellt wurden, um Daten zu stehlen und Backdoors zu installieren. Diese Pakete wurden über GitHub verbreitet und betrafen verschiedene Betriebssysteme.
Empfehlungen für sichere Open-Source-Nutzung
- Lösungen zur Überwachung von Open-Source-Komponenten verwenden, um versteckte Bedrohungen zu erkennen.
- Die Glaubwürdigkeit von Paket-Maintainern und deren Versionen überprüfen.
- Sich über aktuelle Bedrohungen informieren und relevante Sicherheitsbulletins abonnieren.
Be the first to comment