Zugangsdaten in Gefahr: Wurm kapert NPM-Pakete mit Milliarden von Downloads

Ein massiver Angriff auf die Software-Lieferkette

Das NPM-Ökosystem, eine zentrale Anlaufstelle für JavaScript-Entwickler weltweit, ist erneut Ziel eines weitreichenden Supply-Chain-Angriffs geworden. Sicherheitsforscher haben eine Welle von Kompromittierungen identifiziert, die weit über 400 einzelne Pakete betrifft. Besonders kritisch ist dabei die enorme Reichweite: Die betroffenen Bibliotheken kommen zusammen auf ein Volumen von über zwei Milliarden Downloads pro Monat. Der Vorfall unterstreicht die Verwundbarkeit moderner Software-Lieferketten, bei denen bereits ein infiziertes Paket eine Kettenreaktion auslösen kann.

Der Ursprung und die Ausbreitung

Die Angriffswelle nahm ihren Anfang am 4. August 2026. Als Ausgangspunkt der Infektion wurde das Paket „keyv“ identifiziert, eine weit verbreitete Key-Value-Storage-Bibliothek, die allein wöchentlich rund 150 Millionen Mal heruntergeladen wird. Von dort aus verbreitete sich der Schadcode auf zahlreiche weitere populäre Projekte. Zu den betroffenen Paketen gehören unter anderem „flat-cache“, „cachable“ und „file-entry-cache“.

Nach aktuellen Analysen von Sicherheitsunternehmen wie Socket sind mittlerweile 447 NPM-Pakete und über 2.200 spezifische Paketversionen betroffen. Die Angreifer nutzen dabei eine bewährte Methode: Sie schleusen ein „Preinstall-Skript“ (setup.mjs) in die Pakete ein. Dieses Skript fungiert als Türöffner, um im nächsten Schritt verschleierten Schadcode – identifiziert als „Math_Symbol.js“ – nachzuladen.

Funktionsweise des Schadcodes

Der eingesetzte Schadcode weist starke Parallelen zum bekannten „Shai-Hulud-Wurm“ auf. Sein primäres Ziel ist die Spionage und der Datendiebstahl in hochsensiblen Umgebungen. Der Wurm zielt gezielt auf:

* CI/CD-Pipelines (Continuous Integration/Continuous Deployment)

* Lokale Entwicklersysteme

* Private Schlüssel und Authentifizierungs-Tokens

* Konfigurationsdaten für Cloud-Dienste (AWS, Google Cloud, Azure)

* Zugangsdaten für Kubernetes-Cluster, GitHub und SSH-Verbindungen

* Datenbanken von Passwort-Managern wie Keepass

Die erbeuteten Informationen dienen den Angreifern nicht nur zum direkten Diebstahl, sondern auch zur weiteren Verbreitung des Wurms. Durch den Zugriff auf Entwickler-Accounts können sie ihre Rechte ausweiten und weitere NPM-Pakete kompromittieren, was den Angriff zu einer sich selbst verstärkenden Bedrohung macht.

Empfehlungen für Entwickler und Sicherheitsverantwortliche

Angesichts der Schwere des Vorfalls ist schnelles Handeln geboten. Entwickler sollten umgehend prüfen, ob ihre Projekte eine der betroffenen Abhängigkeiten nutzen. Eine laufend aktualisierte Liste der kompromittierten Pakete wird von Sicherheitsfirmen wie Socket bereitgestellt.

Sollte ein betroffenes Paket in einer Umgebung identifiziert werden, gelten folgende Maßnahmen als zwingend erforderlich:

1. **Systeme isolieren:** Betroffene Systeme sollten als kompromittiert eingestuft werden.

2. **Datenrotation:** Sämtliche Anmeldeinformationen, die auf den betroffenen Systemen gespeichert oder verarbeitet wurden, müssen umgehend rotiert werden. Dies betrifft API-Keys, SSH-Schlüssel und Passwörter.

3. **Analyse:** Für eine detaillierte Untersuchung und die Einleitung von Gegenmaßnahmen stehen Indikatoren für eine Kompromittierung (IoCs) in den Berichten von Sicherheitsforschern (u.a. Aikido, Wiz, OX Security, Stepsecurity und Safedep) zur Verfügung.

Die aktuelle Angriffswelle verdeutlicht, dass die Sicherheit von Abhängigkeiten in der modernen Softwareentwicklung ein kontinuierlicher Prozess ist. Die automatische Einbindung von Paketen aus öffentlichen Repositories erfordert eine erhöhte Wachsamkeit und regelmäßige Sicherheitsaudits der verwendeten Bibliotheken.