npm-Wurm infiziert 444 Pakete mit 2 Milliarden monatlichen Downloads

Ein neuer npm-Wurm hat mindestens 444 Softwarepakete und mehr als 2.000 Paketversionen infiziert und setzt Anwendungen mit insgesamt über zwei Milliarden monatlichen Installationen einem Risiko aus.

Die Schadsoftware verbreitet sich über gestohlene Entwicklerzugangsdaten und infiziert automatisch weitere Pakete. Sicherheitsforscher warnen, dass betroffene Organisationen davon ausgehen sollten, dass ihre Systeme und Geheimnisse kompromittiert worden sein könnten.

Das Cloud-Sicherheitsunternehmen Wiz erklärte, dass sich der Angriff innerhalb von weniger als 24 Stunden auf einen großen Teil des Open-Source-Ökosystems ausbreitete. Der Vorfall begann, nachdem Angreifer am 4. August das GitHub-Konto des Entwicklers Jared Wray kompromittiert hatten.

Wray betreut keyv und cacheable, zwei weit verbreitete Open-Source-Projekte für JavaScript-Datenverwaltung und Caching.

Kompromittiertes Entwicklerkonto löst massiven npm-Wurm aus

Die erste bekannte bösartige Veröffentlichung war keyv Version 6.0.0. Allein dieses Paket verzeichnet rund 604 Millionen monatliche Downloads.

Die Angreifer veröffentlichten anschließend infizierte Versionen weiterer beliebter Pakete, darunter cacheable, flat-cache und file-entry-cache. Flat-cache und file-entry-cache erreichen etwa 565 Millionen beziehungsweise 557 Millionen monatliche Downloads.

Sobald die bösartigen Pakete installiert oder aktualisiert werden, können sie das System eines Entwicklers vollständig kompromittieren. Die Schadsoftware stiehlt Zugangsdaten aus .env-Dateien, npm- und GitHub-Tokens, AWS- und Kubernetes-Geheimnissen, SSH-Schlüsseln, VPN-Konfigurationen sowie mehr als 200 weiteren Arten von Zugangsdaten.

Anschließend nutzt der Wurm gestohlene Veröffentlichungstokens, um Pakete anderer kompromittierter Entwickler zu infizieren.

Aikido erklärte, man habe eine aktive Ausbreitung innerhalb der Community beobachtet, die weitere Entwickler, Pakete und große Organisationen betreffe.

Schadsoftware nutzt Preinstall-Hook zur Verbreitung

StepSecurity erklärte, dass alle infizierten Versionen dieselbe Infektionsmethode verwenden. Ein Preinstall-Dropper lädt die legitime JavaScript-Laufzeitumgebung Bun herunter und startet anschließend eine 710 KB große, verschleierte Schadlast der zweiten Stufe.

Diese Schadlast stiehlt Zugangsdaten, veröffentlicht weitere bösartige Pakete und verändert KI-Entwicklungstools.

Die Forscher identifizierten die Schadsoftware als weiterentwickelten Nachfolger von Shai-Hulud 2.0, einem von mehreren npm-Würmern, die das Ökosystem in diesem Jahr angegriffen haben. Der Schadcode enthält Berichten zufolge Merkmale früherer Shai-Hulud-Kampagnen und erstellt öffentliche GitHub-Repository-Beschreibungen mit dem Text: „Shai-Hulud: Here We Go Again.“

Microsoft erklärte, dass die Schadsoftware Pakete identifizieren kann, die für ein kompromittiertes npm-Konto verfügbar sind, deren neueste Tarball-Dateien herunterlädt, Schadcode und einen Setup-Loader einfügt, einen Preinstall-Hook hinzufügt, die Patch-Version erhöht und das veränderte Paket erneut veröffentlicht.

Neue Funktionen zielen auf KI-Tools und Krypto-Wallets ab

Der neueste npm-Wurm sorgt außerdem für Persistenz, indem er Konfigurationsdateien von Claude und Visual Studio Code in infizierten Repositories verändert.

Er bezieht Command-and-Control-Domains aus der Ethereum-Blockchain, wodurch seine Betreiber ihre Infrastruktur ändern könnten, ohne die Schadsoftware selbst aktualisieren zu müssen. Die Forscher stellten außerdem fest, dass der Wurm 70 Prozent mehr Quellen für Zugangsdaten angreift als frühere Varianten.

Zu den neuen Zielen gehören Claude, OpenAI, Codex, Cursor, Gemini sowie Krypto-Schlüsselablagen im Zusammenhang mit Foundry, Solana und Monero.

Wiz erklärte, dass die Schadsoftware außerdem über einen aktualisierten sogenannten „Dead Man’s Switch“ verfügt, der abhängig von einer Antwort des Command-and-Control-Servers gezielt aktiviert werden kann.

Sicherheitsunternehmen empfehlen betroffenen Entwicklern und Organisationen, umgehend sämtliche Zugangsdaten auszutauschen, Repositories und veröffentlichte Pakete auf Anzeichen einer Kompromittierung zu überprüfen, infizierte Systeme zu bereinigen und stärkere Schutzmaßnahmen gegen Angriffe auf die Software-Lieferkette einzuführen.

Das volle Ausmaß des Vorfalls ist weiterhin unklar. Da sich der Wurm über Zugangsdaten von Entwicklern verbreitet, warnen Forscher, dass bereits Tausende von Konten kompromittiert worden sein könnten.