In einem schwerwiegenden Vorfall für die Sicherheit der Software-Lieferkette wurde das GitHub-Konto eines Maintainers des populären Projekts Keyv kompromittiert. Ziel der Angreifer war die Einschleusung einer Schadsoftware, die unter der Bezeichnung Shai-Hulud-Wurm bekannt wurde. Durch die gezielte Manipulation zentraler Bibliotheken gelang es den Tätern, den Wurm in eine Vielzahl von npm-Paketen zu integrieren und so eine enorme Reichweite innerhalb der Entwickler-Community zu erzielen.
Ausmaß der Infektion im npm-Ökosystem
Untersuchungen verschiedener Sicherheitsdienstleister verdeutlichen die Dimension des Angriffs. Den Analysen zufolge verbreitete sich der Shai-Hulud-Wurm auf mindestens 868 npm-Pakete, wobei insgesamt 1.381 verschiedene Versionen mit dem Schadcode infiziert wurden. Die Brisanz des Vorfalls ergibt sich vor allem aus der Popularität der betroffenen Komponenten. Branchenexperten beobachten eine Verbreitung, die über 2 Milliarden monatliche Installationen betrifft.
Die Ausbreitung erfolgte dabei kaskadenartig über Abhängigkeiten innerhalb des npm-Verzeichnisses. Verschiedene Berichte, unter anderem von Sicherheitsforschern bei BleepingComputer, sprechen von über 1.300 betroffenen Paketen, was die Komplexität der Bereinigung für Administratoren und Entwickler weltweit erhöht. Die schiere Anzahl der monatlichen Downloads verdeutlicht, wie tief der Schadcode in automatisierte Build-Prozesse und Cloud-Infrastrukturen eingedrungen sein könnte.
Wer sich mit der Sicherheit von Software-Lieferketten befasst, muss heute proaktiv gegen komplexe Bedrohungen vorgehen. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberrisiken und zeigt praxisnahe Schutzmaßnahmen für Unternehmen auf. Gratis-E-Book: Cyberbedrohungen abwenden und das Unternehmen schützen
Fokus auf Keyv und Cacheable-Bibliotheken
Der Ursprung der Kampagne liegt im direkten Umfeld der Projekte Keyv und Cacheable. Diese Bibliotheken sind essenzielle Bestandteile für das Caching in Node.js-Anwendungen und werden in zahlreichen Enterprise-Umgebungen eingesetzt. Experten von Wiz und Datadog wiesen darauf hin, dass allein innerhalb des Keyv- und Cacheable-Ökosystems über 400 Pakete unmittelbar betroffen waren.
Die Angreifer nutzten den privilegierten Zugang des kompromittierten Maintainer-Kontos, um den Schadcode als legitime Updates getarnt zu verteilen. Da viele Entwicklungsumgebungen so konfiguriert sind, dass sie Minor-Updates oder Patches automatisch beziehen, konnte sich der Shai-Hulud-Wurm ohne weiteres Zutun der Endnutzer verbreiten. Sicherheitsspezialisten von Scworld und The Hacker News bestätigten, dass die Infektionswelle unmittelbar bei diesen weit verbreiteten Caching-Tools ihren Anfang nahm.
Sicherheitsforscher warnen vor hohen Download-Zahlen
Angesichts der steigenden Zahl von Cyberangriffen auf Unternehmen wird eine fundierte Sicherheitsstrategie immer wichtiger. Erfahren Sie in diesem kostenfreien Report, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen an die IT-Sicherheit erfüllen. Checkliste und E-Book für proaktive IT-Sicherheit jetzt sichern
Zusätzliche Daten von Ox Security und jsmon.sh stützen die Einschätzung, dass der Angriff eine der bisher größten Supply-Chain-Attacken im JavaScript-Umfeld darstellt. Während Ox Security von über 440 infizierten Paketen ausgeht, beziffern andere Analysen die Zahl auf 868 Pakete in 1.381 Versionen. Übereinstimmend wird berichtet, dass die betroffenen Pakete kumuliert auf über 2 Milliarden monatliche Downloads kommen.
Diese Zahlen verdeutlichen das Potenzial für Folgeschäden, da npm-Pakete oft als Bausteine für andere Anwendungen dienen. Ein infiziertes Basis-Paket wie Keyv kann somit eine Vielzahl von nachgelagerten Anwendungen kompromittieren. Sicherheitsanalysten raten Entwicklern dringend dazu, ihre Abhängigkeiten zu prüfen und auf nicht infizierte Versionen der betroffenen Bibliotheken zu migrieren, um die Integrität ihrer Systeme sicherzustellen.
