Warum die Mastra-Pakete zwar sauber waren, aber dennoch Malware enthielten

Am 17. Juni 2026 nutzte ein Angreifer ein gekapertes Konto eines ehemaligen Betreuers, um innerhalb von etwa 88 Minuten mehr als 140 Mastra-npm-Pakete erneut zu veröffentlichen. Der Code der Bibliothek blieb dabei unverändert. Jede Version enthielt eine zusätzliche Zeile in der Datei „package.json“: eine Abhängigkeit von „easy-dayjs“, einem Typosquat von „dayjs“, das einen Tag zuvor als funktionierender Klon veröffentlicht worden war und 11 Minuten vor Beginn des Angriffs auf eine bösartige Version umgestellt wurde. Diese eine Zeile führte während des „npm install“-Vorgangs – noch bevor eine Anwendung irgendetwas importierte – zur Installation eines plattformübergreifenden Info-Stealers und eines Krypto-Wallet-Diebs, weshalb dies beim Lesen des Quellcodes des genannten Pakets übersehen worden wäre. In diesem Live-Stream verfolgen wir den zeitlichen Ablauf, erklären, wie ein Caret-Bereich einen Köder in einen Dropper verwandelte, und zeigen, was in Lock-Dateien und CI-Runner zu überprüfen ist.