mini Shai-Hulud Supply Chain Angriff auf SAP CAP durch bösartige npm-Pakete

Eine neue Version des Wurms „Shai-Hulud“ trifft das SAP-Ökosystem: Ma­ni­pu­lierte npm-Pakete stehlen Zugangsdaten aus Entwicklersystemen. Nutzer sollten Builds und Abhängigkeiten prüfen und bereinigte Releases ein­spielen.

Nachdem die Malware „Shai-Hulud“ erstmals im September 2025 auftauchte, hielt erst eine neue Variante und nun eine Mini-Version die IT-Sicherheitsbranche in Atem. Am 29. April 2026 beschrieben Sicherheitsforscher von Socket eine Kampagne, die sie „mini Shai-Hulud“ nen­nen, bei der kompromittierte npm-Pakete, die im Cloud Application Programming Model (CAP) von SAP zum Einsatz kommen, den Wurm verbreiten.

Update: Neue Variante des Shai-Hulud Worm

Supply-Chain-Angriff trifft über 1.000 npm-Pakete

Vier bösartige npm-Pakete waren unterwegs

Bis zu vier Stunden lang seien an besagtem Tag vier offizielle npm-Pakete aus dem SAP-Ent­wicklungsökosystem in bösartigen Versionen über GitHub verfügbar gewesen. Jeder, der den Befehl „npm install“ für die betreffende falsche Version ausführte, lud sich eine Payload zum Diebstahl von Zugangsdaten direkt auf seine Entwickler-Workstation oder in seine CI/CD-Pipeline. Bereits das gesamte Jahr 2026 ist von Supply-Chain-Vorfällen ähnlicher Art ge­zeich­net, doch mini Shai-Hulud ist der erste Fall, bei dem der Wurm direkt die SAP-Lieferkette betrifft.

Diese vier Pakete sind mit bösartigen Versionen infiziert worden:

• @cap-js/sqlite v2.2.2

• @cap-js/postgres v2.2.2

• @cap-js/db-service v2.10.1

• mbt v1.2.48

Sie werden zusammengenommen rund 570.000 Mal pro Woche heruntergeladen. Das schäd­liche Verhalten war in den drei eingeschleusten Dateien „package.json“, „setup.mjs“ und „execution.js“ verborgen, die während der Paketinstallation ausgeführt werden.

Analyse von Sysdig

So werden Self-hosted GitHub Actions Runner als Backdoors missbraucht

Schnelle Reaktion von SAP

Der deutsche Software-Anbieter hat schnell reagiert und die betroffenen Versionen noch am selben Nachmittag durch bereinigte Releases ersetzte. Außerdem hat SAP mit dem Security Note 3747787 einen entsprechenden Hinweis für seine Kunden veröffentlicht. Dieser enthält eine Liste der Indicators of Compromise, Dateihashes sowie Maßnahmen zur Scha­dens­be­gren­zung.

Auch die Forscher von Socket listen in ihrem Bericht IoCs auf sowie „Detection Op­por­tunities“. Dies sind konkrete, beobachtbare Signale, die Nutzern helfen, verdächtiges Verhalten früh zu erkennen.

Zu ihrem Schutz sollten User folgende Sicherheitsmaßnahmen ausführen:

• Abhängigkeiten und Lockfiles auf betroffene Versionen prüfen, Funde entfernen be­zie­hungs­weise durch verifizierte, gepinnte Versionen ersetzen und Lockfiles neu er­zeu­gen. Unautorisierte GitHub-Repositories löschen, injizierte Workflow-Branches entfernen, IDE-Config-Änderungen, die die Payload in andere Repos gepusht hat, rückgängig machen und unerwartete Versionssprünge aus npm-Paketen depublizieren.

• Möglicherweise exponierte Credentials und Tokens umgehend rotieren. CI/CD- und Build-Logs auf unerwartete Netzwerkaktivität oder Binär-Ausführung während der Installation prüfen. Betroffene Systeme sollten isoliert werden. Außerdem sollte für sie ein Re-Imaging erwägt werden.

• Nach den von SAP aufgelisteten Indikatoren suchen sowie GitHub-Repositories mit der Beschreibung „A Mini Shai-Hulud has Appeared“, Commits mit dem String „OhNoWhats­Go­ing­On­WithGitHub“, Commits von „claude claude@users.noreply.github.com“ oder mit der Nachricht „chore: update dependencies“, unerwartete Workflow-Branches, Änderungen an IDE-Konfigurationen, zum Beispiel „.vscode/tasks.json“ und „.claude/settings.json“, die auf betroffenen Maschinen in andere Repositories eingecheckt worden sein könnten.

Glassworm kompromittiert 151 GitHub-Repositories in einer Woche

Wie Glassworm vier Ökosysteme gleichzeitig unterwanderte

(ID:50834973)