Überblick über die Bedrohung durch BeaverTail-Malware

BeaverTail ist eine JavaScript-basierte Malware-Familie, die hauptsächlich über bösartige oder trojanisierte NPM-Pakete verbreitet wird. BeaverTail ist seit mindestens 2022 aktiv und entwickelt sich ständig weiter. Es wurde entwickelt, um sensible Informationen zu stehlen und als Loader für zusätzliche Malware-Stufen zu fungieren, insbesondere für eine Python-basierte Hintertür namens InvisibleFerret. Jüngste Untersuchungen haben neuere BeaverTail-Varianten mit nordkoreanischen Bedrohungsclustern in Verbindung gebracht, die mit der Lazarus-Gruppe in Verbindung stehen, was seine Rolle bei finanziell motivierten und spionagegesteuerten Kampagnen unterstreicht.

Informationen über „BeaverTail Malware“

Verbreitungsmethoden und Erstzugriff

BeaverTail wird am häufigsten über Software-Lieferkettenangriffe verbreitet, die das Vertrauen in Open-Source-Entwicklungsökosysteme ausnutzen. Bedrohungsakteure laden bösartige NPM-Pakete in öffentliche Repositories hoch oder schleusen BeaverTail-Code in ansonsten legitime Projekte ein. In einigen Fällen bleiben diese Pakete lange genug verfügbar, um vor der Erkennung Tausende Male heruntergeladen zu werden.

Zusätzliche Bereitstellungsmechanismen, die in den letzten Kampagnen beobachtet wurden, umfassen gefälschte Vorstellungsgesprächs-Plattformen, die sich als technische Bewertungen ausgeben, sowie sogenannte „ClickFix“-Köder, die Benutzer dazu verleiten, Betriebssystembefehle auszuführen. Diese Befehle laden die Malware im Hintergrund herunter und führen sie aus, wodurch herkömmliche browserbasierte Sicherheitskontrollen umgangen werden.

Technische Fähigkeiten und Verhalten

• BeaverTail fungiert sowohl als Information Stealer als auch als Malware Loader und sammelt Systemdetails wie Benutzernamen, Hostnamen und Plattformmetadaten.
• Die Malware ist stark verschleiert und verwendet mehrschichtige Base64- und XOR-Codierung, um statische Analysen und signaturbasierte Erkennung zu vermeiden.
• Nach der Ausführung versucht sie, Command-and-Control-Server zu kontaktieren, um Folge-Payloads abzurufen, einschließlich der InvisibleFerret-Hintertür.
• Zu den beobachteten Fähigkeiten gehören Keylogging, Überwachung der Zwischenablage, Erfassung von Screenshots und Erfassung von Browserdaten.
• Die Malware zielt speziell auf Kryptowährungs-Wallets und gespeicherte Zahlungsdaten ab, einschließlich Kreditkarteninformationen.

Evolution und Kontext des Bedrohungsakteurs

Sicherheitsforscher haben beobachtet, wie sich BeaverTail zu einem modularen, plattformübergreifenden Framework entwickelt hat, das auf Windows-, macOS- und Linux-Systemen ausgeführt werden kann. Im Jahr 2025 wurde beobachtet, dass BeaverTail Funktionen mit einer anderen DPRK-verbundenen Malware-Variante namens OtterCookie zusammenführte, wodurch seine Browserprofilierungs-, Wallet-Targeting- und Remote-Zugriffsfunktionen durch legitime Tools wie AnyDesk erheblich erweitert wurden.

Diese Konvergenz spiegelt eine breitere Eskalation der Handwerkskunst wider und verwandelt BeaverTail von einem leichten JavaScript-Stealer in ein ausgeklügeltes, mehrstufiges Intrusion-Framework, das für langfristigen Finanzdiebstahl und Überwachung optimiert ist.

Fazit

Obwohl BeaverTail keine Ransomware ist, stellt es aufgrund seiner Rolle bei der Kompromittierung der Lieferkette, dem Finanzdiebstahl und der Bereitstellung fortschrittlicher Malware eine ernsthafte Cyber-Bedrohung dar. Seine fortgesetzte Entwicklung und Verbindung mit einem staatlich ausgerichteten Bedrohungsakteur unterstreichen die wachsenden Risiken für Organisationen, die auf Open-Source-Software und kollaborative Entwicklungsplattformen angewiesen sind.

Als Spezialisten für Cyber-Vorfälle mit hoher Auswirkung unterstützen wir Organisationen bei der Identifizierung, Eindämmung und Reaktion auf fortschrittliche Malware-Intrusionen durch unseren Incident Response Retainer. Eine frühzeitige Untersuchung und eine entschlossene Reaktion sind unerlässlich, um die Gefährdung zu begrenzen und weitere Kompromittierungen zu verhindern.

Letzte Aktualisierung: 19. Dezember 2025