Eine neue Shai-Hulud-Kampagne hat 19 Python-Pakete kompromittiert, die in der wissenschaftlichen Forschung und in Bioinformatikprojekten eingesetzt werden. Die Angreifer fügten schädlichen Code in legitime PyPI-Pakete ein und setzten Entwickler dem Diebstahl von Zugangsdaten sowie Angriffen auf die Software-Lieferkette aus.
Sicherheitsforscher entdeckten die Kampagne, nachdem sie verdächtige Updates in mehreren vertrauenswürdigen Paketen festgestellt hatten. Der Vorfall verdeutlicht die wachsende Bedrohung für Open-Source-Ökosysteme, während Bedrohungsakteure weiterhin Entwicklerkonten und Software-Repositories ins Visier nehmen.
Angreifer kompromittierten vertrauenswürdige Forschungspakete
Die Angreifer zielten auf legitime PyPI-Projekte ab, anstatt gefälschte Pakete zu erstellen. Sie verschafften sich Zugriff auf die Konten der Maintainer und veröffentlichten schädliche Updates über die offiziellen Vertriebskanäle.
Die Forscher brachten die Kampagne mit 19 Paketen in Verbindung, die für wissenschaftliche Berechnungen, Datenanalysen und Bioinformatik verwendet werden. Da Entwickler diesen Projekten bereits vertrauten, luden viele Nutzer die infizierten Versionen herunter, ohne Verdacht zu schöpfen.
Diese Taktik verschaffte den Angreifern direkten Zugang zu Entwicklungsumgebungen, die auf Open-Source-Software angewiesen sind. Gleichzeitig erhöhte sie die Wahrscheinlichkeit, dass Nutzer die schädlichen Pakete im Rahmen regulärer Updates installierten.
Malware zielte auf Zugangsdaten von Entwicklern ab
Der Schadcode konzentrierte sich darauf, sensible Informationen von infizierten Systemen zu stehlen. Die Forscher stellten fest, dass die Malware nach Authentifizierungstokens, Zugangsdaten und Entwicklungsgeheimnissen suchte, die auf den Arbeitsstationen der Entwickler gespeichert waren.
Die Angreifer versuchten, Zugriff auf Quellcode-Repositories und Plattformen zur Softwareveröffentlichung zu erhalten. Durch den Diebstahl der Zugangsdaten von Maintainern konnten sie weitere Projekte kompromittieren und Schadcode an neue Opfer verbreiten.
Die Forscher identifizierten die Kampagne als Teil der umfassenderen Shai-Hulud-Operation, die wiederholt Software-Ökosysteme über kompromittierte Entwicklerkonten angegriffen hat.
Diese Strategie ermöglicht es den Angreifern, das Vertrauen zwischen Entwicklern und Open-Source-Projekten auszunutzen, anstatt auf traditionelle Phishing-Kampagnen zu setzen.
Risiken in der Lieferkette nehmen weiter zu
Angriffe auf die Software-Lieferkette bleiben attraktiv, weil bereits eine einzelne Kompromittierung Tausende nachgelagerte Nutzer erreichen kann.
Wenn Angreifer die Kontrolle über ein vertrauenswürdiges Paket übernehmen, können sie Malware über reguläre Software-Update-Mechanismen verteilen. Viele Unternehmen installieren Paketaktualisierungen zudem automatisch, was solche Angriffe besonders effektiv macht.
Die Shai-Hulud-Kampagne zeigt, wie Bedrohungsakteure ihre Methoden weiter verfeinern, um ihre Reichweite zu maximieren und gleichzeitig unentdeckt zu bleiben. Anstatt einzelne Opfer anzugreifen, kompromittieren sie vertrauenswürdige Komponenten, die Entwickler täglich nutzen.
Forscher fordern sofortige Maßnahmen
Die Forscher empfehlen Entwicklern, alle betroffenen Paketversionen zu identifizieren und unverzüglich zu entfernen. Unternehmen sollten außerdem Zugangsdaten, API-Schlüssel und Zugriffstokens austauschen, die Angreifer möglicherweise von kompromittierten Systemen abgegriffen haben.
Sicherheitsteams sollten Repository-Aktivitäten auf unbefugte Änderungen überprüfen und Konten auf verdächtige Anmeldeversuche überwachen. Zusätzliche Audits können Unternehmen dabei helfen festzustellen, ob Angreifer Zugriff auf die Entwicklungsinfrastruktur erlangt haben.
Starke Kontosicherheit, Multi-Faktor-Authentifizierung und die Überwachung von Abhängigkeiten können das Risiko ähnlicher Angriffe in Zukunft verringern.
Fazit
Die jüngste Shai-Hulud-Kampagne zeigt, wie Angreifer weiterhin das Vertrauen innerhalb des Open-Source-Ökosystems ausnutzen. Durch die Kompromittierung legitimer PyPI-Pakete verschafften sie sich einen Zugang zu Forschungs- und Entwicklungsumgebungen, die auf vertrauenswürdige Software angewiesen sind.
Da Angriffe auf die Lieferkette immer ausgefeilter werden, müssen Unternehmen die Sicherheit ihrer Softwarepakete stärken, Entwicklerkonten schützen und ihre Abhängigkeiten genau überwachen, um die Auswirkungen zukünftiger Angriffe zu begrenzen.
0 Kommentare zu „Shai-Hulud-Malware infiziert 19 wissenschaftsorientierte PyPI-Pakete“