Gefälschter Web3-Accelerator verbreitet Schadsoftware über npm-Pakete und kapert KI-Agenten-Verkehr

Im Mittelpunkt stehen zwei npm-Pakete, die jeweils sowohl Windows- als auch macOS-Systeme angreifen:

• @apexacc/cli — beworben als „Apex Copilot CLI", ein KI-Berater für Web3-Gründer, angeblich angetrieben von Claude Fable 5 und Gemini 2.5 Flash
• @apexacc/audit — angeblich ein Model-Context-Protocol-Server (MCP) mit 18 Sicherheitswerkzeugen zum Prüfen von Token, Wallets und Smart Contracts

Beide Pakete wurden von einem npm-Nutzer namens „apexaccelerator" veröffentlicht und waren mit dem GitHub-Konto „apexaccs" sowie einer als Apex Foundation bezeichneten Einheit verknüpft. Die Pakete und die zugehörigen GitHub-Repositorien sind inzwischen nicht mehr erreichbar.

Neu ist die Kampagne nicht. Ende Juli 2026 beschrieb SafeDep drei weitere npm-Pakete derselben Operation, die einen macOS-Stealer aus der Familie Atomic Stealer (AMOS) verbreiteten: @apexfdn/apex, @copilot-mcp/apex — mit identischer Paketbeschreibung wie @apexacc/cli — und @apexfdn/copilot-mcp, das sich als Apex Copilot und MCP-Server für „Portfolio-Prüfung und Operator-Werkzeuge" ausgab. Von Socket erfasste Artefakte zeigen, dass die Apex Foundation seit April 2026 mit mindestens zwei Domains in Verbindung steht: apexaccs[.]org und apexfdn[.]xyz.

Archivierte Momentaufnahmen des Internet Archive, die bis zum 19. März 2026 zurückreichen, geben die Selbstdarstellung der Stiftung wieder: Sie biete Investitionen in Höhe von 235.000 US-Dollar, Zuschüsse und Partnerschaften und vermittle Projekte, die ihre Kriterien nicht erfüllten, an Wagniskapitalgeber, Angel-Investoren und Private Equity.

Beiträge auf X zeigen, dass der vermeintliche Accelerator gezielt Entwickler von Kryptowallets und von Marktanalysewerkzeugen für Trader ansprach — mit Angeboten für Direktinvestitionen und der Aufforderung, das Due-Diligence-Werkzeug @apexacc/cli auszuführen. In diesen Fällen setzte das npm-Paket einen verschlüsselten Malware-Loader ab, der als Apple-Anwendung („com.apple.system.loader") getarnt war.

Zur Glaubwürdigkeit trug laut Elastic auch der physische Auftritt bei: Die Gruppe zeigte sich auf der TOKEN2049 in Singapur und richtete in der Vergangenheit eigene Präsenzveranstaltungen aus. „Die Gruppe versucht, Legitimität zu erzeugen, indem sie auf stark besuchten Konferenzen auftritt und dem Projekt so indirekt Glaubwürdigkeit verleiht", so Elastic.

Die versprochene Funktionalität liefern die Pakete nicht. Die 18 Sicherheitswerkzeuge aus @apexacc/audit erzeugen erfundene Befunde, und der Bewertungstest von @apexacc/cli liefert eine nicht belegbare Einschätzung zu einem frei erfundenen Projekt. Ihre eigentliche Aufgabe ist die Verbreitung der macOS-Hintertür CloudSyncD und eines maßgeschneiderten Windows-Informationsdiebs, der Daten über Telegram abfließen lässt. Die plattformspezifischen ausführbaren Dateien werden aus den GitHub-Releases der Projekte nachgeladen.

Beide Pakete unterscheiden die Plattform über eine HTTP-POST-Anfrage mit „win32" oder „darwin" an „vrf.apexaccs[.]org/api/v1/vrf", um die passende nächste Stufe anzustoßen.

Unter Windows läuft die Infektionskette wie folgt ab: Die Schadsoftware holt einen Base64-kodierten PowerShell-Befehl, der den Endpunkt „0auth-chromium[.]com/APIService" kontaktiert, um ein zweites PowerShell-Skript („drop.ps1") zu laden. Dieses lädt eine ausführbare Datei („bludness.exe") von „ehegisnightmare[.]icu" herunter und startet sie in einem verborgenen Fenster. Die mit PyInstaller erzeugte Datei ist ein Python-Loader, der prüft, ob bereits Administratorrechte vorliegen; ist das der Fall, lädt er die nächste Stufe von „ehegisnightmare[.]icu", speichert sie als „%TEMP%\exegis.exe" und führt sie aus. Andernfalls versucht er, die Benutzerkontensteuerung (UAC) mit der Methode ucmDebugObjectMethod() aus UACME zu umgehen.

„exegis.exe" ist ebenfalls eine PyInstaller-Datei. Sie sammelt Systemmetadaten und laufende Prozesse, führt Anti-VM-Prüfungen durch und entschlüsselt anschließend einen mitgelieferten Loader, der als „%TEMP%\updater_loader.exe" gestartet wird. Dieses in Go geschriebene Programm patcht das Antimalware Scan Interface (AMSI) und Event Tracing for Windows (ETW), entfernt Hooks aus „ntdll.dll", um Endpunktschutzlösungen blind zu machen, und lädt den Shellcode der nächsten Stufe in den eigenen Speicher.

Der Shellcode ist ein nativer Informationsdieb. Er prüft zunächst auf Spuren einer früheren Infektion und sammelt dann Systeminformationen, Zwischenablageinhalte, Prozesslisten, Namen von WLAN-Profilen, Bildschirmfotos sowie Daten aus Wallets, Browser-Erweiterungen, Messengern, Fernwartungs- und FTP-Anwendungen, VPN-Clients, Browsern (Google Chrome, Microsoft Edge, Mozilla Firefox und Yandex) und Spiele-Clients. Zudem kann er Chromes App-Bound Encryption (ABE) umgehen, um gespeicherte Passwörter, Sitzungs-Cookies, Browserverlauf, Download-Einträge und Profilmetadaten auszulesen. Die Daten werden über Telegram ausgeleitet.

Unter macOS lädt die Schadsoftware ein entfernt gehostetes Bash-Skript und führt es aus. Das Skript lädt ein GZIP-komprimiertes Archiv von „verify.apexfdn[.]xyz/unix/" herunter, speichert es als „package.tar.gz" in einem temporären Verzeichnis und entpackt es. Das Archiv enthält einen Dropper für CloudSyncD, der zunächst über eine gefälschte Autorisierungsabfrage das Anmeldepasswort des Nutzers abgreift und damit eine eingebettete Nutzlast mit sudo-Rechten startet. Diese führt eine Host-Erkennung durch, sammelt Hardware- und Betriebssystemdetails und kontaktiert anschließend den Server „ccmihr[.]com", um die Daten zu übermitteln und weitere Aufträge entgegenzunehmen, mit denen zusätzliche Nutzlasten geladen und ausgeführt werden können.

CloudSyncD wurde erstmals im vergangenen Monat von Jamf Threat Labs dokumentiert, damals mit Verbreitung über einen gefälschten Zoom-Installer; entdeckt wurde die Schadsoftware Mitte September 2026. „Ihr Verhalten zeigt, wie sich macOS-Malware weiter in Richtung nativer Implementierungen, String-Schutz und Ausführungswege bewegt, die das Schreiben von Nutzlasten auf die Festplatte zu vermeiden versuchen — und dabei immer noch auf die älteste verfügbare Technik setzt: den Nutzer nach seinem Passwort zu fragen", so Jamf.

Über Stealer und Backdoor hinaus können die Pakete den LLM-Verkehr von OpenRouter abfangen und umleiten sowie einen von den Angreifern kontrollierten MCP-Server in der Agentenkonfiguration des Opfers registrieren. „Diese Änderungen erlauben es der vom Angreifer kontrollierten API, die Prompts, den Gesprächsverlauf, Code-Ausschnitte und Werkzeugausgaben zu empfangen, die in den LLM-Anfragen des Agenten enthalten sind", erklären die Elastic-Forscher. Der MCP-Server der Angreifer könne zudem Anweisungen liefern, die dem Prompt des Agenten hinzugefügt werden, samt Werkzeugnamen, Beschreibungen und akzeptierten Eingaben, die dem Modell bei der Auswahl und Nutzung von Werkzeugen helfen. Zusammen verschafften diese Mechanismen dem Angreifer Einblick in die übermittelten Daten und einen Weg, die weiteren Aktionen des Agenten zu beeinflussen.