Manipulierte Git-Tags verteilen Credential-Stealer in PHP-Paketen Laravel-Lang-Stealer stiehlt Cloud-, Browser- und Vault-Daten

Anbieter zum Thema

Aagon GmbH

FAST LTA GmbH

FTAPI Software GmbH

Sicherheitsforscher haben einen Supply-Chain-Angriff auf die PHP-Pakete der Laravel-Lang-Organisation dokumentiert. Die Angreifer schrieben über 700 Git-Tags um und betteten einen plattformübergreifenden Credential-Stealer ein, der Cloud-Zugänge, Browser-Daten und Passwort-Tresore ab­greift. Die Schadroutine startet automatisch bei jedem Hochfahren einer Anwendung, die ein betroffenes Paket einbindet.

Sicherheitsforscher von Socket, StepSecurity und Aikido Security haben einen Angriff auf die PHP-Bibliotheken der Laravel-Lang-Organisation dokumentiert. Betroffen sind die Pakete laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes und laravel-lang/actions. Die Forscher zählen über 700 manipulierte Versionen, am 22.05.2026 und 23.05.2026 in schneller Folge veröffentlicht, viele nur Sekunden auseinander.

Glassworm kompromittiert 151 GitHub-Repositories in einer Woche

Wie Glassworm vier Ökosysteme gleichzeitig unterwanderte

Umgeschriebene Tags statt verändertem Quellcode

Der Angriff verzichtet auf eine Änderung des eigentlichen Projektquellcodes. Stattdessen zeigt jeder vorhandene Git-Tag jedes Repositories nach der Manipulation auf einen neuen, bös­ar­ti­gen Commit. Tempo und Muster der Veröffentlichung deuten nach Analyse von Socket auf eine Kompromittierung des gesamten Release-Prozesses der Organisation. Als Einfallstor gelten Zugangsdaten auf Organisationsebene, eine automatisierte Repository-Verwaltung oder die Release-Infrastruktur selbst. Die hohe Zahl der in Sekundenabständen erzeugten Versionen spricht für ein automatisiertes Massen-Tagging.

Ausführung über die Autoload-Funktion

Die Datei src/helpers.php enthält die zentrale Schadfunktion und ist in die Versions-Tags eingebettet. Die Angreifer tragen den Pfad in die autoload.files-Map jedes kompromittierten Pakets ein. Da jede Laravel-Anwendung beim Start die zentrale Autoload-Datei lädt und Symfony sowie weitere PHP-Frameworks und Tools ebenso verfahren, startet die Payload beim Hochfahren jedes Consumers. Eine Klasseninstanziierung, ein Methodenaufruf oder ein gesonderter Auslöser sind nicht erforderlich. Über die Registrierung in der composer.json führt die Anwendung die Hintertür bei jeder PHP-Anfrage aus. Ein Per-Host-Marker aus einem MD5-Hash über Verzeichnispfad, Systemarchitektur und Inode begrenzt die Ausführung auf einmal pro Maschine und verhindert auffällige Wiederholungen.

Update: Neue Variante des Shai-Hulud Worm

Supply-Chain-Angriff trifft über 1.000 npm-Pakete

Nachgeladene Schadsoftware

Die eingebettete Datei dient zunächst dem Fingerprinting des infizierten Systems und kontaktiert den Server flipboxstudio[.]info, um eine PHP-Payload für Windows, Linux und macOS nachzuladen. Auf Windows legt der Dropper nach Angaben von Aikido Security einen Visual-Basic-Script-Launcher ab und startet ihn über cscript. Auf Linux und macOS führt er den Stealer direkt über exec() aus. Die nachgeladene Komponente umfasst rund 5.900 Zeilen PHP-Code, gegliedert in fünfzehn spezialisierte Sammelmodule.

Umfang des Datendiebstahls

Der Stealer greift ein breites Spektrum an Zugangsdaten ab. Aus Cloud-Umgebungen liest er IAM-Rollen und Instanz-Identitätsdokumente über die Metadatendienste, Google-Cloud-Standardanmeldedaten, Azure-Access-Tokens, Kubernetes-Service-Account-Tokens sowie Tokens für DigitalOcean, Heroku, Vercel, Netlify, Railway und Fly.io. Aus der Entwicklungs­um­ge­bung sammelt er Konfigurationen von Jenkins, GitLab Runners, GitHub Actions, CircleCI, TravisCI und ArgoCD, dazu HashiCorp-Vault-Tokens, SSH-Private-Keys, Git-Anmeldedaten, .env-Dateien und Docker-Auth-Tokens. Hinzu kommen Browserdaten aus Chrome, Edge, Firefox, Brave und Opera, wobei ein eingebettetes Windows-Programm die App-Bound-Encryption von Chromium umgeht, dazu Tresore von Passwort-Managern darunter 1Password, Bitwarden und KeePass, Sitzungstoken von Discord, Slack und Telegram, VPN-Konfigurationen sowie Seed-Phrasen mehrerer Kryptowährungs-Wallets. Die gesammelten Daten verschlüsselt der Code mit AES-256 und sendet sie an den Endpunkt flipboxstudio[.]info/exfil. Anschließend löscht er sich von der Festplatte, um forensische Spuren zu begrenzen.

TeamPCP griff EU und Cisco an

Massive Supply-Chain-Angriffe über Trivy-Tool und Telnyx-PyPI

Fazit

Der Angriff auf Laravel-Lang verschiebt das Risiko von einer einzelnen Paketversion auf den gesamten Release-Prozess einer Organisation. Durch die Ausführung über die Autoload-Datei genügt das bloße Einbinden eines betroffenen Pakets, damit der Stealer beim Start jeder Anwendung Anmeldedaten aus Cloud-Diensten, Entwicklungswerkzeugen und lokalen Tresoren abgreift.

(ID:50858918)