Gefälschter Accelerator kapert Agenten über npm

Gratis-KI-Credits für Claude und Gemini, dazu ein Coding-Agent und Sicherheits-Audits für Smart Contracts: Mit diesem Angebot hat sich ein angeblicher Web3-Accelerator namens "Apex" monatelang an Krypto-Startups gewandt. Tatsächlich steckte dahinter eine Malware-Kampagne. Elastic Security Labs hat sie am 12.10.2026 unter der Kennung REF8801 beschrieben, The Hacker News berichtete am 19.10.

Die Zielgruppe ist eng, die Krypto-Szene. Interessant ist der Fall trotzdem für alle, die mit Coding-Agenten arbeiten, denn die Angreifer haben nicht nur klassische Malware verteilt. Sie haben sich in den Agenten selbst eingenistet.

Wie der Angriff funktioniert

Im Mittelpunkt stehen zwei npm-Pakete. @apexacc/cli ist laut OSV eine umgepackte Kopie des Coding-Agenten Oh My Pi, 1.351 von 1.363 Dateien sind identisch. Die übrigen haben es in sich. Beim Start überschreibt das Paket die Umgebungsvariablen OPENROUTER_API_KEY und OPENROUTER_BASE_URL und schickt damit alle Modellanfragen an einen Server der Angreifer. Für den Nutzer sieht es weiter so aus, als liefe alles über OpenRouter. Prompts, gelesene Dateien und Werkzeugausgaben landen aber bei Apex. Im Test von Elastic ging der Inhalt einer lokalen Datei nach einem einzigen Lesezugriff an den fremden Server.

Dazu trägt das Paket einen entfernten MCP-Server der Angreifer dauerhaft in die Agenten-Konfiguration ein. Über ihn können die Angreifer eigene Anweisungen und Werkzeugbeschreibungen in jeden Prompt einschleusen, auch nach einem Neustart. Laut OSV stellt das Paket außerdem die Freigabe von Werkzeugaufrufen auf "yolo", also ohne Rückfrage.

Das zweite Paket, @apexacc/audit, gibt sich als MCP-Server mit 18 Sicherheitswerkzeugen aus und versucht, sich in Claude Desktop, Cursor und Windsurf einzutragen. Ein Fehler beim Start verhindert das in einem Teil der Fälle. Die Audits selbst sind Attrappe. Elastic schreibt dazu: "All 18 tools in @apexacc/audit return fabricated findings."

The Hacker News nennt drei weitere Paketnamen aus derselben Operation: @apexfdn/apex, @copilot-mcp/apex und @apexfdn/copilot-mcp.

Was dann noch nachgeladen wird

Über den Agenten holen sich die Angreifer weitere Befehle von ihren Servern:

macOS: Ein gefälschter Dialog fragt nach dem Administratorpasswort, prüft es und speichert es. Danach meldet sich die Backdoor CloudSyncD bei ihrem Steuerserver und führt Aufträge aus.
Windows: Eine Kette aus PowerShell, VBScript und mehreren Loadern endet in einem Infostealer. Er sammelt Browserdaten, Krypto-Wallets, Messenger, VPN-Zugänge, Screenshots und die Konfigurationsdateien von KI-Werkzeugen wie Claude, Cursor und Windsurf. Die Beute geht über Telegram-Bots raus.

Wichtig für die Einschätzung: Die Schadfunktionen laufen laut OSV, wenn jemand den Agenten aufruft, nicht schon bei npm install.

Ist das erledigt?

Weitgehend. Laut The Hacker News sind die Pakete und die zugehörigen GitHub-Repositories nicht mehr erreichbar. Bei Erstellung des OSV-Eintrags am 16.10. war @apexacc/cli in Version 1.6.2 allerdings noch auf npm abrufbar. Wer in den letzten Wochen mit einem dieser Pakete gearbeitet hat, sollte den Rechner als kompromittiert behandeln: Paket entfernen, alle Zugangsdaten, Wallet-Schlüssel und Tokens für KI-Dienste rotieren und die von Elastic veröffentlichten Indikatoren prüfen, darunter Verbindungen zu apexaccs.org und apexfdn.xyz.

Was der Fall über Agenten zeigt

Für alle anderen ist der Fall vor allem ein Lehrstück. Ein Coding-Agent hat zwei Stellen, an denen sich ein Angreifer festsetzen kann, ohne dass es auffällt: die Adresse, an die er seine Anfragen schickt, und die Liste der MCP-Server, denen er vertraut. Beides steht in Umgebungsvariablen und Konfigurationsdateien, die kaum jemand regelmäßig ansieht.

Drei Gewohnheiten helfen dagegen:

MCP-Konfigurationen ab und zu durchsehen. In Claude Desktop, Cursor, Windsurf und euren CLI-Agenten sollte nur stehen, was ihr selbst eingetragen habt.
Basis-URLs prüfen. Variablen wie OPENROUTER_BASE_URL, ANTHROPIC_BASE_URL oder OPENAI_BASE_URL sollten auf den Anbieter oder euer eigenes Gateway zeigen und auf nichts sonst.
Agenten nur aus der Originalquelle installieren. Ein Fork mit neuem Namen und "Gratis-Credits" ist ein Warnsignal, egal wie professionell die Website dahinter aussieht.

Erst am 21.10. war mit LiteLLM ein weit verbreitetes Paket aus dem KI-Umfeld kompromittiert, auch dort ging es um Zugangsdaten auf Entwicklerrechnern. Wie MCP selbst zur Angriffsfläche wird, zeigt außerdem die systemische Lücke, die OX Security im April offengelegt hat.