Forscher haben eine neue bösartige Lieferkettenkampagne aufgedeckt, die sich an Entwickler richtet, die OpenAI Codex über ein legitim aussehendes Remote-Web-UI-Tool namens codexui-android verwenden. Das Paket, das auf GitHub und npm beworben wird, wurde wöchentlich über 29.000 Mal heruntergeladen und steht weiterhin öffentlich zum Download zur Verfügung.
Diese Kampagne ist bemerkenswert, da sie bösartigen Code in ein voll funktionsfähiges npm-Paket einbettet, das aktiv entwickelt wurde, wobei das zugehörige GitHub-Repository sauber erscheint. „Im letzten Monat wurden bei jedem einzelnen Aufruf Ihre Codex-Authentifizierungstoken still und heimlich auf einen von Angreifern kontrollierten Server exfiltriert“, sagte Charlie Eriksen, Forscher bei Aikido Security.
Der Schadcode scheint etwa einen Monat nach der ersten Veröffentlichung des Pakets eingeführt worden zu sein, möglicherweise um das Vertrauen der Benutzer aufzubauen und seine Reichweite zu vergrößern. Der mit dem Paket verknüpfte npm-Account lautet „friuns“ und ist mit Igor Levochkin verknüpft.
Der eingebettete Code extrahiert die Datei „~/.codex/auth.json“ aus Codex und sendet sie an einen Remote-Server, der sich als Sentry unter „sentry.anyclaw[.]store“ ausgibt. Zu den erfassten Daten gehören Zugriffstoken, Aktualisierungstoken, ID-Token und Konto-ID. „Das „refresh_token“ läuft nicht ab“, bemerkte Eriksen und deutete damit darauf hin, dass weiterhin unbefugter Zugriff möglich ist. „Ein Angreifer, der es in der Hand hält, kann sich auf unbestimmte Zeit stillschweigend als Sie ausgeben.“
OpenAI warnt Benutzer, die Datei auth.json wie ein Passwort zu behandeln. Anmeldedaten werden lokal im Klartext oder über einen betriebssystemspezifischen Anmeldeinformationsspeicher zwischengespeichert, was weitere Sicherheitsbedenken aufwirft.
Neben dem npm-Paket identifizierten die Aikido-Forscher auch eine Android-Anwendung namens OpenClaw Codex Claude AI Agent, die das bösartige npm-Paket nutzt, um Anmeldeinformationen zu exfiltrieren. Die OpenClaw-App mit einer kleinen APK-Größe von 26 MB erscheint bei Scans vor der Veröffentlichung sauber und führt das npm-Paket in einer PRoot-Sandbox aus.
Die Exfiltrationskette ist seit der Version [email protected] aktiv, die Updates automatisch von npm abruft. „Die Version ist nicht gepinnt, daher ruft das Gerät alles ab, was derzeit auf npm veröffentlicht ist“, erklärte Eriksen. Die gleiche Exfiltrationsmethode wurde auch in einer anderen Android-App des Entwicklers BrutalStrike namens Codex beobachtet, die über 10.000 Downloads verzeichnet. Die verbleibenden drei Apps des Entwicklers enthalten diese schädliche Funktionalität nicht.
Aikido hat den Autor des npm-Pakets auf GitHub kontaktiert. Zunächst behaupteten sie, den Zugriff auf ihr npm-Konto verloren zu haben, gaben jedoch später an, dass sie das Problem untersuchen und mit der Entfernung der betroffenen Funktionalität begonnen hätten. Sie behaupteten, dass keine Zugangsdaten an Dritte weitergegeben wurden, erklärten jedoch nicht, warum der Schadcode enthalten war oder warum Codex-Tokens erforderlich waren.
Untersuchungen zu Domain-Registrierungen ergaben, dass „anyclaw[.]store“, das mit dem Autor verknüpft ist, kurz nach dem Hochladen der ersten Version des npm-Pakets registriert wurde, und zwar am 12. April 2026. Diese Entwicklung verdeutlicht einen breiteren Trend, dass Angreifer KI-Entwicklungstools ausnutzen, um Anmeldeinformationen zu stehlen und die Software-Lieferkette zu infiltrieren.
Darüber hinaus haben belgische Sicherheitsforscher herausgefunden, dass gelöschte Google-API-Schlüssel bis zu 23 Minuten aktiv bleiben können, was eine Sicherheitslücke darstellt. Google tat das Problem zunächst als nicht sicherheitsrelevant ab, stufte es jedoch später als kritisch ein. Ähnliche Verzögerungen beim Widerruf von Anmeldeinformationen wurden bei AWS-Zugriffsschlüsseln festgestellt, was auf ausnutzbare Schwachstellen in Cloud-Umgebungen hinweist.
