Flooding Dropper: 846 npm-Pakete gegen Scraping-Teams

```html

Am 5. August 2026 verzeichneten Forscher von Sonatype eine Kampagne in npm, die sie Flooding Dropper nannten: 846 bösartige Komponenten, die über Dutzende von Einmal-Konten veröffentlicht wurden. Eine Woche später stieg die Zahl — in den aktualisierten Daten von OpenSourceMalware, die dieselbe Kampagne unter dem Namen WEL1DROPPER verfolgt, sind bereits 1033 bestätigte Pakete aufgeführt. Im Inneren befindet sich ein plattformübergreifender Loader, der die zweite Phase unter Windows, macOS und Linux herunterlädt und alle Daten vom Computer des Entwicklers löscht, die er erreichen kann: Umgebungsvariablen, Anmeldeinformationen, Sitzungen.

Für Teams, die auf Parsing und Automatisierung angewiesen sind, ist das keine „weitere Nachricht über npm“. Der Scraping-Stack ist genau npm: Playwright, Puppeteer, Crawlee, Wrapper über Proxy-Agenten, HTML-Parser, Warteschlangen. Und auf demselben Computer, auf dem all dies von einem Team installiert wird, liegt normalerweise eine .env mit Login und Passwort für den Proxy-Pool, ein Cookie-Container für Sitzungen und Profile von Anti-Detect-Browsern. Lassen Sie uns untersuchen, was genau passiert ist und was dies praktisch bedeutet.

Was über die Kampagne bekannt ist

Sonatype führt die Kampagne unter der Kennung sonatype-2026-005660 mit einer CVSS-Bewertung von 8.7 und der Klassifizierung CWE-506 (eingebetteter bösartiger Code). Charakteristische Merkmale, anhand derer Forscher die Pakete in eine Gruppe zusammengefasst haben:

Automatische Generierung von Namen. Die Namen werden durch Interpolation wiederholter Begriffe erstellt — im Bericht erscheinen „bigops“ und „bnpl“, Beispiele wie bigops-api und lange Verkettungen wie dolyame-boxy-desktop-bnpl-card-gallery. OpenSourceMalware beschreibt dies als „AI slop squatting“ — massenhaftes Typen-Squatting mit zufällig generierten Namen anstelle einer sorgfältigen Nachahmung eines beliebten Pakets.
Versionen aus einem Bereich. Die Releases gruppieren sich um 35.x.y — untypisch hohe Nummern für Pakete ohne Geschichte.
Verteilung auf Konten. Jedes Konto veröffentlicht eine kleine Charge von Paketen, daher tötet die Sperrung eines Herausgebers nicht die gesamte Operation.

Die Mechanik des Starts wird unterschiedlich beschrieben, und dieser Unterschied ist wichtig. Sonatype schreibt, dass der Code „bei der Installation oder dem Import“ eines Pakets ausgelöst wird. OpenSourceMalware präzisiert: Einige Proben kommen ohne klassische Lifecycle-Hooks aus und erfordern, dass der Entwickler das Paket selbst über require() einbindet. Die praktische Schlussfolgerung ist: nur auf --ignore-scripts zu setzen, wird Sie nicht retten — wenn die Abhängigkeit tatsächlich in den Code importiert wird, wird die Nutzlast aktiviert.

Wie die zweite Phase geliefert wird

Der Loader zieht die Nutzlast über HTTPS von einem zufälligen Host aus einer fest codierten Liste — laut The Hacker News dienten drei Domains auf Cloudflare Workers als Lieferpunkte. Wenn der direkte Download fehlschlägt, wird ein Backup-Kanal aktiviert: Die Nutzlast wird aus DNS TXT-Einträgen der Domain wel1.ru mit plattformbezogenen Subdomains (sdk.dl, ext.dl, pkg.dl, net.dl) gesammelt. Das heißt, der ausgehende Filter für HTTP-Domains wird durch gewöhnliche DNS-Anfragen umgangen — und die werden in Unternehmensnetzwerken nur selten blockiert.

Weiter geht es nach Plattformen:

Windows: ETW und AMSI werden gepatcht (d.h. Telemetrie und Virenscanning von Skripten werden unterdrückt), Verankerung über Autostart-Schlüssel in der Registry und Aufgaben im Taskplaner, Dateien in AppData.
macOS: dieselben Umgehungstechniken, Verankerung über LaunchAgent. In der macOS-Nutzlast fanden Forscher Domains russischer Finanzdienstleister (tcsbank.ru, cloudpayments.ru) — ein Zeichen für gezieltes Interesse an Bankensitzungen russischsprachiger Nutzer.
Linux: gepacktes UPX ELF-Binärformat, das den Agenten des Sliver-Frameworks entfaltet — das ist bereits ein vollwertiger C2-Kanal und kein einmaliger Diebstahl.

Zusätzlich gibt es ein Standardset: Überprüfung auf Sandkasten und Debugger, Bestimmung der Architektur, Lesen von Umgebungsvariablen, abgetrennte Hintergrundprozesse (überstehen das Schließen des Terminals) und Spiegelung der Nutzlast im Speicher, um keine Datei auf der Festplatte zu hinterlassen.

Warum es gerade Parsing-Teams trifft

Der Infostyler unterscheidet nicht zwischen „wichtig“ und „unwichtig“ — er nimmt alles, was wie ein Geheimnis aussieht. Bei einem normalen Benutzer sind das Passwörter aus dem Browser und Krypto-Wallets. Bei jemandem, der Daten sammelt, ist die Beute anders und, ehrlich gesagt, schmackhafter:

Umgebungsvariablen und .env — hier liegen fast immer der Host des Proxy-Gateways, Login, Passwort und Sitzungsparameter (Land, Stadt, Sticky-Identifikator). Die Exfiltration von Umgebungsvariablen ist direkt in der Analyse der Kampagne angegeben.
Cookies und Sitzungstoken. Eine gestohlene Sitzung bedeutet, dass MFA umgangen wird: Ein Cookie ist an sich der Beweis, dass die zweite Überprüfung bereits bestanden wurde. Protokolle mit gültigen Token für Arbeitsdienste werden auf Schattenmärkten ab 5 $ verkauft.
Profile von Anti-Detect-Browsern — eine Kombination aus „Cookie + Fingerabdruck + Proxy“, also ein fertiges Arbeitskonto, das nicht aufgewärmt werden muss.
CI/CD-, npm- und Cloud-Token — Zugang nicht nur zu Ihrem Computer, sondern auch zu Ihrer Pipeline, von wo aus Sie bereits Ihre Builds senden können.

Das Ausmaß des Phänomens hat aufgehört, nischig zu sein. SpyCloud zählte in ihrem Bericht für 2026 18,1 Millionen exponierte API-Schlüssel und Token, die genau aus Malware-Protokollen stammen. Laut Recorded Future und Flashpoint infizierten Infostyler im Jahr 2025 11,1 Millionen Maschinen und lieferten 3,3 Milliarden gestohlene Konten. Und im Bericht von Sonatype über den Zustand der Software-Lieferkette für 2026 sind mehr als 454.600 neue bösartige Pakete für das Jahr 2025 aufgeführt, und kumulativ über 1,233 Millionen blockierte — ein Anstieg von 75 % im Jahresvergleich. Flooding Dropper ist kein Anomalie, sondern ein alltägliches Ereignis im Strom.

Was der Besitzer eines Proxy-Kontos verliert

Ich möchte gesondert anmerken, was in Sicherheitsanalysen normalerweise nicht erwähnt wird, weil die Autoren nicht mit Proxys arbeiten. Gestohlene Proxy-Credentials sind kein „Passwortverlust“, sondern gleich drei Probleme:

Bezahlter Traffic. Wohn- und Mobiltraffic wird nach Gigabyte abgerechnet. Ein fremder Scraper, der Ihre Credits nutzt — das ist Ihre Rechnung, und man kann es viel später bemerken, als man möchte.
Fremde Reputation auf Ihren IPs. Ein Angreifer benötigt einen „sauberen“ Wohnzugang, damit seine Aktivitäten wie die eines normalen Heimnutzers aussehen. Ihre Zielplattformen werden verdächtiges Verhalten in Ihrer eigenen Sitzung sehen — und es werden Sperren für die Konten verhängt, die Sie über Jahre hinweg aufgewärmt haben.
Klärung mit dem Anbieter. Aus Sicht eines jeden normalen Anbieters kam der Traffic von Ihrem Konto, und Sie müssen sich erklären.

Was zu tun ist: praktisches Minimum

Umgebungen trennen. Der Scraping-Stack wird in einem Container oder einer separaten VM installiert — nicht auf dem Computer, auf dem persönliche Cookies, geschäftliche E-Mails und Produktions-Token liegen. Das ist die einzige Maßnahme, die selbst gegen ein Paket funktioniert, von dem noch niemand weiß.
Proxy-Credentials aus .env neben dem Code entfernen. Geheimnisse gehören in einen Secret-Manager oder in die Umgebungsvariablen des Runners, nicht in eine Datei im Stammverzeichnis des Projekts, die jedes importierte Modul lesen kann.
IP-Authentifizierung aktivieren, wo immer möglich. Der Zugriff auf Ihren Server macht das gestohlene Paar Login/Passwort wertlos: von einer fremden Adresse funktioniert es einfach nicht. Wie das funktioniert und in welchen Szenarien es passt, wurde in dem Material über Whitelist von IP-Adressen für Proxys behandelt. Allgemeine Regeln für die Speicherung von Zugängen finden Sie im Leitfaden für sichere Speicherung von Proxy-Credentials.
Separate Sub-Credentials für jedes Projekt und Traffic-Limits. Wenn für jedes Skript ein eigener Zugang mit einem Limit in Gigabyte eingerichtet ist, wird das Leck eines einzelnen nicht das gesamte Guthaben aufbrauchen und kann innerhalb von Minuten lokalisiert werden.
Verbrauch überwachen. Ein plötzlicher Anstieg des GB-Verbrauchs ohne Anstieg der Aufgaben ist der früheste und kostengünstigste Detektor für Kompromittierung, den Sie haben.
Disziplin bei Abhängigkeiten. npm ci nach dem Lock-File anstelle von freiem install, Quarantäne für neue Versionen (7–14 Tage), Überprüfung des Alters des Pakets und der Geschichte des Herausgebers, internes Spiegelbild mit Allowlist. Ein Paket mit der Version 35.x.y, null Geschichte und einem Namen aus verketteten Wörtern ist ein Grund, innezuhalten, und nicht zu installieren.

Wenn Sie vermuten, dass Sie bereits betroffen sind

Die Empfehlungen von Sonatype sind hier äußerst konkret, und die Reihenfolge ist entscheidend: den Host als vollständig kompromittiert betrachten; die beschriebenen Verankerungsmechanismen suchen (Autostart-Schlüssel und Aufgaben im Taskplaner in Windows, LaunchAgent in macOS); Anmeldeinformationen rotieren — npm, GitHub, Cloud, CI/CD — nach der Bereinigung des Computers, nicht vorher, sonst gehen neue Geheimnisse denselben Weg; Lock-Files, Caches von Abhängigkeiten und interne Spiegel auf verbliebene Kopien überprüfen; vor der Neuinstallation die Paketnamen zeichenweise abgleichen.

Fügen Sie zu dieser Liste Ihre eigenen Punkte hinzu: Wechsel der Passwörter für Proxy-Zugänge, Widerruf aktiver Sitzungen im Anti-Detect-Browser und Überprüfung der Verbrauchshistorie des Traffics der letzten zwei Wochen. Wenn der Traffic nach Gigabyte gekauft wird — residential oder mobile Proxys, — ist der Verbrauchsbericht Ihr Zugangsprotokoll.

Fazit

Flooding Dropper ist nicht wegen seiner Raffinesse interessant, sondern wegen der Wirtschaftlichkeit: Tausend Einmal-Pakete, generierte Namen, Konten in Chargen — das ist eine Produktionslinie, die darauf ausgelegt ist, dass jemand eine Abhängigkeit ohne zu schauen installiert. Einzelne Kampagnen werden wochenlang aus der Registry gelöscht, aber der Strom wird nicht aufhören: Die Zahlen von Sonatype für das letzte Jahr lassen keine Illusionen.

Die praktische Schlussfolgerung für diejenigen, die Daten sammeln, ist einfach. Der Computer des Entwicklers ist der Punkt, an dem sich alle Ihre Zugänge gleichzeitig treffen: Proxys, Konten, Sitzungen, Pipeline. Isolieren Sie den Stack, binden Sie die Zugänge an die IP, verteilen Sie die Credits auf Projekte und beobachten Sie den Verbrauchsgraphen. Keiner dieser Schritte erfordert, zu warten, bis die nächste Kampagne indiziert wird.