Update: Neue Variante des Shai-Hulud Worm Supply-Chain-Angriff trifft über 1.000 npm-Pakete

Nach einer ersten Angriffswelle auf das npm-Ökosystem im September, er­folgt nur die zweite Welle von Supply-Chain-Angriffen mit neuer Malware-Variante. Diese ist schwerer zu erkennen, schnell zu replizieren und richtet Schaden an, selbst wenn sie keinen Zugriff erhält.

Am 15. September 2025 schlug der Entwickler Daniel Pereira Alarm: Er entdeckte, dass das be­liebte npm-Paket „@ctrl/tinycolor“ mit Malware infiziert worden war. Das Paket wird wöchent­lich mehr als zwei Millionen Mal heruntergeladen und dient in zahlreichen JavaScript- und Type­Script-Projekten zur Farbanpassung. Und nun verbreitet sich eine weiterentwickelte Vari­ante des „Shai-Hulud Worm“. Damit steigt die Gesamtzahl der betroffenen Paketversionen auf über 1.000. Somit entwickelt sich der Vorfall langsam aber sicher zu einem der schwer­wie­gend­sten Angriffe im gesamten JavaScript-Ökosystem.

Sicherheit von Software-Lieferketten

Das bedeutet der CrowdStrike-Vorfall für die IT-Sicherheit

Der sich selbst verbreitende Wurm

Der Software-Lieferketten-Spezialist Socket begann im September mit der Untersuchung der Malware und identifizierte mindestens 40 Pakete, die im Rahmen der ersten Angriffs­kam­pag­ne kompromittiert wurden. Weitere Analysen von Stepsecurity wie auch von Aikido zeig­ten, dass die Zahl der infizierten npm-Pakete bei mindestens 187 lag, darunter auch Pakete des Herstellers Crowdstrike. Dieser Supply-Chain-Angriff trägt den Namen „Shai-Hulud“ – offenbar benannt nach den riesigen Sandwürmern aus Frank Herberts „Dune“ – und gilt als besonders gefährlich, weil er sich wurmähnlich selbstständig verbreitet.

Nach Angaben von Check Point begann die erste Attacke bereits am 8. September 2025 mit einer gezielten Phishing-Kampagne. Dabei sei das Konto eines legitimen Maintainers über 18 npm-Pakete mit einer Malware infiziert worden, deren Ziel es sei, Kryptowährung zu stehlen. Node Package Manager ist die größte Paketverwaltung für JavaScript und bildet das Rückgrat unzähliger Web- und Softwareprojekte. Entwickler können darüber externe Pakete einbinden, um Funktionen wie Datenbankzugriffe, Sicherheitsmechanismen oder eben Farb­ver­arbeitung nicht selbst schreiben zu müssen. Aufgrund seiner zentralen Rolle ist npm ein attraktives Ziel für Supply-Chain-Angriffe.

Strategien für eine sichere Software-Lieferkette

So funktionieren Supply-Chain-Attacks

Neue Version der Malware entdeckt

Die neue Version von Shai-Hulud ist Checkmarx zufolge schwerer zu erkennen und leichter zu replizieren als ihr Vorgänger. Denn die Malware sammelt weiterhin Credentials für GitHub, npm und Cloud-Dienste, exfiltriert diese allerdings nun in zufällig erzeugte Repositories. Wie JFrog ergänzt, scanne der Wurm alle zugänglichen Pakete, sobald gültige Tokens vorliegen, injiziere schädlichen Code, erhöhe Versionsnummern und veröffentliche manipulierte Releases automatisch. Jede kompromittierte Entwicklungsumgebung wird somit zum Multiplikator weiterer Infektionen.

Die Bereitstellung und Ausführung der Payload erfolgt Checkmarx zufolge nun in zwei Schrit­ten: Die Datei „setup_bun.js“ wird ausgeführt, wodurch die Datei „bun_environment.js“ mit der eigentlichen Payload erstellt und ausgeführt wird. Gleichzeitig gebe es ein Infektionslimit, welches bei 100 npm-Paketen pro Ausführung liege, was die Verbreitung beschleunige, wenn Nutzer mit Zugriffsrechten auf eine große Anzahl von Paketen kompromittiert würden. Eine Infektion mit mehr Paketen würde zum einen die effektive Verbreitungsgeschwindigkeit ver­ringern und zum anderen wäre eine solche großangelegte Kampagne auffälliger.

Bemerkenswert ist, dass selbst wenn die Authentifizierung bei GitHub oder npm mit den erlangten Zugriffsdaten fehlschlägt, den Analysten zufolge das Home-Verzeichnis des infizierten Benutzers gelöscht wird. Dies verursache Schäden, die die Entwicklung erheblich verlangsamen und Build-Fehler in CI/CD-Pipelines hervorrufen würden.

Neue Angriffstechniken der Cyberkriminellen

Neue Wege für eine erfolgreiche Malware-Infektion

Wie verbreitet sich Shai-Hulud?

Sobald ein Paket kompromittiert ist, manipuliert der Schadcode weitere Repositories desselben Maintainers, fügt bösartige Skripte hinzu und veröffentlicht automatisch neue Versionen. Diese wurmähnliche Eigenschaft unterscheidet Shai-Hulud von klassischen Supply-Chain-Attacken.

Technisch setzt die Malware unter anderem auf das Open-Source-Sicherheitstool „TruffleHog“, um API-Keys, Zugangstokens und andere Geheimnisse in Entwicklungsumgebungen oder CI/CD-Pipelines zu sammeln. Zusätzlich legen die Angreifer unautorisierte GitHub-Actions-Workflows an, um die erbeuteten Daten an externe Server weiterzuleiten.

Dateilose Angriffe im Arbeitsspeicher

Warum Fileless Malware klassische Abwehrmechanismen aushebelt

Folgen und Lehren

Die Folgen des Vorfalls sind gravierend: Neben dem Risiko des Diebstahls sensibler Zugangs­daten besteht die Gefahr, dass Unternehmen unwissentlich kompromittierte Pakete in ihre Software übernehmen. Entwickler sollten daher schnellstmöglich ihre Abhängigkeiten über­prüfen, auf saubere Versionen zurücksetzen und kompromittierte Tokens ersetzen. Der Vorfall zeigt, wie verwundbar das Open-Source-Ökosystem sein kann. Der Wurm Shai-Hulud sollte Unternehmen als Zeichen dienen, ihre Lieferketten kontinuierlich zu überwachen und abzusichern.

Die Analysten von Checkmarx nennen folgende Schutzmaßnahmen zur Eindämmung der Infektion:

• Unternehmen, die einen Proxy wie Artifactory verwenden, können den Zugriff auf neue Releases im öffentlichen npm-Repository vorübergehend blockieren, bis die Infektion unter Kontrolle ist. Dadurch verringern sie das Risiko erheblich. Auch wenn dies den Entwicklungs­ablauf beeinträchtigt, sollten sie den Netzwerkzugriff auf das öffentliche npm-Repository für Entwickler- und CI/CD-Umgebungen blockieren, bis die Infektion unter Kontrolle ist.

• Die Endpoint-Security-Software sollte so konfiguriert sein, dass sie Prozesse blockiert, die Dateien mit den Namen „setup_bun.js“ oder „bun_environment.js“ erstellen oder laden, sowie JavaScript-Engines, zum Beispiel Node.js, die versuchen, Dateien im Home-Verzeichnis zu löschen. Zudem sollten Admins die npm-Tokens der User überprüfen, um sicherzustellen, dass die Zugriffsrechte nicht zu weit gefasst sind.

Auf GitHub führt Checkmarx eine Liste der identifizierten betroffenen Versionen.

Und auch Aikido hat bereits im September eine Liste mit den kompromittierten Paketen bereitgestellt, darunter:

Cyber-Risikomanagement in der Supply Chain

Eskalierende Bedrohungslandschaft für Lieferketten

(ID:50560616)