Mastra-npm-Angriff: Microsoft sieht Nordkorea am Werk

Jetzt ist klar, wer hinter dem spektakulären Angriff auf das KI-Framework Mastra steckt: Microsoft führt die Attacke mit hoher Sicherheit auf die nordkoreanische Hackergruppe „Sapphire Sleet“ zurück — auch bekannt als BlueNoroff. Damit bekommt der Vorfall, der vergangene Woche 144 npm-Pakete vergiftete, ein staatliches Gesicht.

RÜCKBLICK: 144 Pakete in 88 Minuten

Am 17. Juni kaperten die Angreifer das Entwickler-Konto „ehindero“, das im gesamten @mastra-Scope veröffentlichen durfte. In einer automatisierten Kampagne von nur 88 Minuten schoben sie für über 140 Pakete eine manipulierte Abhängigkeit namens easy-day-js unter — einen getarnten Klon der beliebten dayjs-Bibliothek.

Beim Installieren zündete ein postinstall-Skript: Es schaltete die TLS-Prüfung ab, kontaktierte einen Steuerungs-Server der Angreifer, lud eine zweite Stufe nach und startete sie als versteckten Prozess. Das Ziel: ein Infostealer, der Browser-Daten und über 160 Krypto-Wallets abgreift. @mastra/core allein kommt auf rund 918.000 Downloads pro Woche.

So kam MICROSOFT auf Nordkorea

In einem Update vom 19. Juni erklärt Microsoft, dass die nachgelagerte Aktivität auf bekannte Muster von Sapphire Sleet passt: eine zuvor genutzte PowerShell-Hintertür, zusätzliche Persistenz, Ausnahmen für Microsoft Defender und ein bösartiger Windows-Dienst mit SYSTEM-Rechten. „Backdoor, Vorgehen und Steuer-Infrastruktur“ seien bereits aus früheren Kampagnen der Gruppe bekannt.

Sapphire Sleet ist ein staatlich gesteuerter Akteur, der vor allem den Finanzsektor ins Visier nimmt — bekannt für Krypto-Diebstahl, gefälschte Job-Angebote und Lieferketten-Angriffe. Andere Firmen tracken die Gruppe unter Namen wie BlueNoroff, UNC1069 oder CryptoCore.

Was du JETZT prüfen solltest

Hast du in den letzten Tagen Pakete aus dem @mastra-Scope installiert oder aktualisiert? Dann kontrolliere deine Builds: Suche nach der Abhängigkeit easy-day-js, prüfe Installations-Logs auf verdächtige postinstall-Schritte und ziehe die betroffenen Versionen vom 17. Juni zurück. Rotiere alle Zugangsdaten, die auf einem möglicherweise infizierten Build-Rechner lagen.

FAZIT: Der Fall zeigt, wie verwundbar moderne Software-Lieferketten sind — ein einziges gekapertes Konto reichte. Dass nun ein staatlicher Akteur dahinter vermutet wird, macht die Sache nicht harmloser, sondern unterstreicht: Wer Open-Source-Pakete einsetzt, muss seine Lieferkette aktiv im Blick behalten.

Häufige Fragen

Bin ich betroffen, wenn ich Mastra nutze?

Gefährdet sind vor allem Entwickler, die zwischen dem 17. Juni und dem Bekanntwerden Pakete aus dem @mastra-Scope installiert oder aktualisiert haben. Prüfe deine Builds gezielt auf die untergeschobene Abhängigkeit easy-day-js und auf ungewöhnliche postinstall-Aktivität.

Was bedeutet die Zuordnung zu Nordkorea konkret?

Microsoft sieht mit hoher Sicherheit die Gruppe Sapphire Sleet am Werk, einen staatlich gesteuerten Akteur mit Fokus auf Finanz- und Krypto-Diebstahl. Für Betroffene ändert das wenig an den Aufräumarbeiten, zeigt aber, dass hinter dem Angriff professionelle, gut ausgestattete Täter stehen.

Wie schütze ich meine Build-Pipeline künftig?

Hilfreich sind das Festnageln exakter Paketversionen (Lockfiles), das Deaktivieren automatischer postinstall-Skripte, getrennte Build-Umgebungen und das Überwachen neuer oder geänderter Abhängigkeiten. So fällt eine plötzlich untergeschobene Bibliothek schneller auf.

Sollte ich jetzt Zugangsdaten ändern?

Ja, wenn ein betroffenes Paket auf einem Rechner mit Zugangsdaten oder Wallets installiert wurde. Der Schadcode zielte auf Browser-Daten und Krypto-Wallets. Rotiere Tokens, Passwörter und Schlüssel, die dort gespeichert waren, und prüfe die Systeme auf Persistenz-Mechanismen.

Quellen: Microsoft Security Blog, BleepingComputer, Snyk, The Hacker News (Juni 2026).

ENTLARVT! Nordkorea steckt hinter dem Gift-Angriff auf 144 KI-Pakete — Microsoft nennt JETZT die Täter