Eine Kampagne unter dem Namen Apex Accelerator nutzt manipulierte npm-Pakete, um KI-Agentenaaa-Traffic abzufangen und Malware auf Windows- und macOS-Systeme zu bringen. Die Angreifer sprechen Krypto-Start-ups und Gründer mit kostenlosen KI-Guthaben für Anthropic Claude und Google Gemini, angeblichen Coding-Tools und Sicherheits-Audits an. Die Operation, die unter der Kennung REF8801 beobachtet wird, ist eine Web3-Venture-Capital-Falle und liefert Infostealer sowie Backdoors für beide Betriebssysteme.
Apex Accelerator: Angriff über gefälschte npm-Pakete
Die Täter haben sich als Web3-Beschleuniger mit dem Namen Apex Accelerator inszeniert und für ihre Kampagne eine scheinbar seriöse Fassade aufgebaut. Sie waren auf der Konferenz TOKEN2049 in Singapur präsent und richteten eigene Events aus, um Glaubwürdigkeit vorzutäuschen. Archivierte Versionen ihrer Website vom März 2026 versprechen Investitionen von 235.000 US-Dollar, Zuschüsse und Partnerschaften; Projekte, die die Kriterien nicht erfüllen, sollen an VC-Fonds, Business Angels und Private Equity vermittelt werden.
Im Zentrum stehen zwei npm-Pakete, die von einem Nutzerkonto namens apexaccelerator veröffentlicht und mit dem GitHub-Konto apexaccs sowie einer angeblichen Apex Foundation verknüpft sind:
| Paket | Angebliche Funktion |
|---|---|
| @apexacc/cli | Apex Copilot CLI – „KI-Berater für Web3-Gründer“, angeblich unterstützt durch Claude Fable 5 und Gemini 2.5 Flash |
| @apexacc/audit | Web3-Sicherheitsscanner – MCP-Server mit vorgeblichen 18 Tools für Token-, Wallet- und Smart-Contract-Prüfungen |
| @apexfdn/apex | Früheres Paket aus derselben Kampagne |
| @copilot-mcp/apex | Identische Beschreibung wie @apexacc/cli |
| @apexfdn/copilot-mcp | Apex Copilot und MCP-Server für „Portfolio-Diligence und Betreiber-Tools“ |
Weder die beiden aktuellen Pakete noch die zugehörigen GitHub-Repositories sind noch erreichbar. Die Kampagne ist nicht neu: Bereits Ende Juli 2026 wurden mit @apexfdn/apex, @copilot-mcp/apex und @apexfdn/copilot-mcp drei weitere Pakete derselben Operation zugeordnet, die unter anderem einen macOS-Stealer aus der Familie Atomic Stealer (AMOS) verbreiteten. Die mutmaßliche Apex Foundation steht seit April 2026 mit mindestens zwei Domains in Verbindung: apexaccs[.]org und apexfdn[.]xyz.
Auf X sprachen die Verantwortlichen Entwickler von Kryptowährungs-Wallets und Anbietern von Marktanalyse-Tools für Trader an. Sie boten direkte Investments an und forderten ihre Kontakte auf, das Due-Diligence-Tool @apexacc/cli auszuführen. In einem Fall wurde dabei ein verschlüsselter Malware-Loader abgelegt, der als Apple-App mit der Kennung com.apple.system.loader getarnt war.
Was liefern die Pakete tatsächlich?
Nach der Installation bieten die Pakete keinerlei versprochene Funktionen. Die 18 Sicherheits-Tools von @apexacc/audit erzeugen lediglich erfundene Befunde, und der angebliche Scoring-Test von @apexacc/cli liefert nur eine unbegründete Einschätzung zu einem fiktiven Projekt. Stattdessen starten die Pakete eine plattformspezifische Infektionskette: Auf Windows-Systemen installieren sie einen eigenen Infostealer, auf macOS das Backdoor CloudSyncD. Die dafür nötigen ausführbaren Dateien holen sie sich aus den GitHub-Releases der Projekte. Zuvor senden die Pakete eine HTTP-POST-Anfrage mit dem Parameter win32 oder darwin an vrf.apexaccs[.]org/api/v1/vrf, um den passenden nächsten Schritt anzustoßen.
So läuft die Windows-Infektionskette ab
- Die Malware ruft einen Base64-kodierten PowerShell-Befehl ab. Dieser kontaktiert den Endpunkt 0auth-chromium[.]com/APIService, lädt ein zweites PowerShell-Skript namens drop.ps1, das wiederum die Datei bludness.exe von ehegisnightmare[.]icu herunterlädt und in einem versteckten Fenster ausführt.
- bludness.exe ist ein mit PyInstaller erzeugter Python-Loader. Er prüft, ob er bereits mit Administratorrechten läuft; falls ja, lädt er die nächste Stufe von ehegisnightmare[.]icu nach %TEMP%\exegis.exe und startet sie. Falls nicht, versucht er, die Benutzerkontensteuerung (UAC) mit der Funktion ucmDebugObjectMethod() aus dem UACME-Projekt zu umgehen.
- exegis.exe ist ebenfalls ein PyInstaller-Binary. Es sammelt Systemmetadaten, verarbeitet laufende Prozesse und führt Anti-VM-Prüfungen durch, bevor es einen gebündelten Loader entschlüsselt und als %TEMP%\updater_loader.exe startet.
- Der aus Golang bestehende Loader patcht die Antimalware Scan Interface (AMSI) und Event Tracing for Windows (ETW), entfernt den Hook in ntdll.dll, um Endpoint-Sicherheitslösungen zu blenden, und lädt den nächsten Shellcode direkt in den eigenen Speicher.
- Der native Infostealer prüft auf Spuren einer früheren Infektion und erbeutet Systeminformationen, Clipboard-Inhalte, Prozesslisten, WLAN-Profilnamen, Screenshots sowie Daten aus Wallets, Browsererweiterungen, Messengern, Remote-Zugriffs- und FTP-Anwendungen, VPN-Clients, Browsern (Google Chrome, Microsoft Edge, Mozilla Firefox, Yandex) und Spiel-Clients. Darüber hinaus umgeht er den App-bound-Encryption-Schutz (ABE) von Chrome, um gespeicherte Passwörter, Sitzungscookies, Browserverlauf, Downloads und Profilmetadaten zu extrahieren. Die gesammelten Daten werden über Telegram exfiltriert.
So läuft die macOS-Infektionskette ab
- Die Malware lädt ein entfernt gespeichertes Bash-Skript und führt es direkt auf dem Rechner aus.
- Das Skript lädt ein mit GZIP komprimiertes Archiv von verify.apexfdn[.]xyz/unix/, speichert es als package.tar.gz in einem temporären Verzeichnis und entpackt den Inhalt.
- Das Archiv enthält einen Dropper für das Backdoor CloudSyncD. Der Dropper täuscht einen Autorisierungsdialog vor, um das System-Login-Passwort des Opfers abzufragen, und nutzt die erhaltenen Zugangsdaten, um eine eingebettete Schadsoftware mit sudo-Rechten zu starten.
- Die Schadsoftware führt eine Host-Erkennung durch, sammelt Hardware- und Betriebssystem-Informationen und kontaktiert anschließend ccmihr[.]com, um die Daten zu übertragen. Von diesem Server erhält sie weitere Aufgaben, mit denen sie zusätzliche Payloads herunterladen und ausführen kann.
CloudSyncD war bereits Mitte September 2026 in freier Wildbahn entdeckt und Ende September 2026 dokumentiert worden. Zuvor verbreitete sich das Backdoor über ein gefälschtes Zoom-Installationspaket. Der Fall zeigt, dass macOS-Schädlinge zunehmend auf native Implementierungen, String-Schutz und Ausführungswege setzen, die das Schreiben von Payloads auf die Festplatte vermeiden. Gleichzeitig bleibt die älteste bekannte Technik zentral: die Nutzer nach ihrem Passwort zu fragen.
KI-Agenten im Visier: OpenRouter-Daten werden abgefangen
Die npm-Pakete beschränken sich nicht auf die Auslieferung von Schadsoftware. Sie verpacken einen legitimen Coding-Agenten neu und leiten dessen Modell-Anfragen über die Infrastruktur der Angreifer um. Außerdem registrieren sie in der Konfiguration des Opfers einen MCP-Server, der vollständig unter der Kontrolle der Angreifer steht. Dadurch erhält dieser Server die Prompts, Gesprächsverläufe, Code-Ausschnitte und Tool-Ausgaben, die der Agent in seinen LLM-Anfragen an Dienste wie OpenRouter sendet. Der MCP-Server kann zusätzlich eigene Anweisungen in den Prompt des Agenten einspeisen – inklusive Tool-Namen, Beschreibungen und erwarteter Eingaben. Das gibt den Angreifern nicht nur Einblick in vertrauliche Daten aus der Entwicklungsumgebung, sondern erlaubt ihnen auch, das Verhalten des Agenten gezielt zu beeinflussen.
Die REF8801-Kampagne macht damit eine doppelte Bedrohung sichtbar: Schadcode kompromittiert die Systeme unmittelbar, während die Umleitung der KI-Agenten-Kommunikation langfristig Geschäftsgeheimnisse preisgeben kann. Web3-Projekte sollten Pakete aus unbekannten Quellen vor der Installation prüfen, Repositories abgleichen und Agenten-Konfigurationen regelmäßig auf unerwartete MCP-Server überwachen.
