Lieferketten-Angriff auf keyv: Shai-Hulud-Wurm infiziert mehr als 440 npm-Pakete

Ein folgenschwerer Angriff auf die Software-Lieferkette

Die Sicherheit des npm-Ökosystems ist erneut in den Fokus geraten. Anfang August wurde der GitHub-Account des Maintainers der populären Key-Value-Datenbank „keyv“ kompromittiert. Dieser Vorfall markiert den Ausgangspunkt für eine weitreichende Lieferkettenattacke, bei der der sogenannte Shai-Hulud-Wurm in zahlreiche Software-Pakete eingeschleust wurde. Da die betroffenen Pakete monatlich Milliarden von Downloads verzeichnen, ist das potenzielle Ausmaß der Bedrohung für Entwickler weltweit erheblich.

Verbreitung und betroffene Komponenten

Der Angriff beschränkt sich nicht nur auf das Kernpaket keyv in der Version 6.0.0. Die Angreifer nutzten den kompromittierten Account, um eine ganze Reihe weiterer Pakete zu infizieren. Dazu zählen unter anderem:

* flat-cache (Version 6.1.24)

* file-entry-cache (Version 11.1.6)

* cacheable-request (Version 13.0.20)

* cacheable (Version 2.5.1)

* Verschiedene @cacheable-Module sowie cache-manager

Besonders kritisch ist die Tatsache, dass sich der Wurm von diesen Kernpaketen aus aktiv auf die Software von Drittanbietern und anderen Organisationen ausbreitete. Sicherheitsforscher von Aikido Security identifizierten bereits am 5. August über 1.300 bösartige Versionen von insgesamt 444 npm-Paketen. Andere Beobachter, wie der Dienst Socket, gehen in ihren Live-Trackern sogar von mehr als 2.400 infizierten Artefakten aus.

Funktionsweise des Schadcodes: ChainDrop

Die als „ChainDrop“ bezeichnete Variante des Shai-Hulud-Wurms zeichnet sich durch eine automatisierte Ausführung aus. Nach der Installation eines infizierten Pakets wird über einen neuen Eintrag in der `package.json`-Datei ein Installationsskript (`setup.mjs`) gestartet. Dieses Skript lädt im Hintergrund die JavaScript-Runtime „Bun“ herunter, um den eigentlichen, stark verschleierten Schadcode in der Datei `Math_Symbol.js` auszuführen.

Sobald der Code auf einem System aktiv ist, sucht er gezielt nach sensiblen Zugangsdaten. Das Spektrum der Zielobjekte ist breit gefächert und umfasst unter anderem:

* Authentifizierungs-Token für GitHub, npm und HashiCorp-Vault

* Cloud-Credentials für AWS und Microsoft Azure

* Zugangsdaten für Dienste wie Stripe, Slack und Kubernetes-Secrets

Die extrahierten Daten werden verschlüsselt und in öffentliche GitHub-Repositories hochgeladen, die von den Angreifern kontrolliert werden. Diese Repositories sind häufig an der Kennung „Shai-Hulud: Here We Go Again“ in der Readme-Datei erkennbar. Zudem nutzt die Malware gestohlene npm-Token, um sich eigenständig weiterzuverbreiten.

Hintergrund und Einordnung der Bedrohungslage

Der aktuelle Vorfall ist kein isoliertes Ereignis, sondern Teil einer Serie von Supply-Chain-Angriffen, die seit April dieses Jahres unter dem Namen Shai-Hulud bekannt sind. Zuvor waren bereits Pakete namhafter Akteure wie SAP, TanStack sowie Managed-Cloud-Dienste von Red Hat betroffen.

Der Ursprung dieser Angriffswelle lässt sich auf die Cybergang „TeamPCP“ zurückführen. Diese hatte Mitte Mai den Quellcode des Wurms öffentlich auf GitHub zugänglich gemacht und zu einem Wettbewerb aufgerufen, bei dem es darum geht, den „größten“ Supply-Chain-Angriff durchzuführen. Die Verfügbarkeit des Codes senkt die Hürden für Nachahmer massiv und macht die Software-Lieferkette zu einem dauerhaften Ziel für automatisierte Schadsoftware.

Handlungsbedarf für Entwickler

Obwohl ein Großteil der infizierten Pakete mittlerweile aus dem npm-Registry entfernt wurde, bleibt das Risiko für Systeme bestehen, auf denen diese Versionen bereits installiert wurden. Entwickler und Administratoren sollten ihre Umgebungen auf die genannten Dateien und verdächtige Aktivitäten prüfen. Da die Malware aktiv nach Tokens sucht, ist bei einer Infektion das sofortige Zurücksetzen aller betroffenen Zugangsdaten – insbesondere für Cloud-Infrastrukturen und Entwickler-Accounts – zwingend erforderlich, um einen dauerhaften Zugriff durch die Angreifer zu unterbinden.