Detailanalyse des technisch innovativsten Mini-Shai-Hulud-Angriffs TanStack-Angriff nutzte vertrauens­würdige Pipelines als Waffe

Anbieter zum Thema

cidaas by Widas ID GmbH

Manipulierte TanStack-Pakete gelangten über einen missbrauchten OIDC-Token in die npm-Registry. Der eingebettete Schadcode sammelte beim Installieren Cloud-Zugänge, GitHub- und npm-Tokens sowie SSH-Schlüssel. Seit dem TanStack-Angriff hat die Mini-Shai-Hulud-Welle Microsoft, Red Hat und zahlreiche weitere Organisationen getroffen. Hier analysieren wir den technischen Ursprung dieser Angriffsserie.

Miasma traf den Python Package Index PyPI und sogar Microsoft, Mastra kompromittierte KI-Entwickler, PCPJack kaperte über 230 Cloud-Server – die Mini-Shai-Hulud-Welle erschüttert die Softwarelieferkette seit Wochen. Der Ursprung dieser Angriffsserie liegt beim TanStack-Angriff vom 11. Mai 2026, technisch der innovativste und folgenreichste Fall der gesamten Kampagne. CVE-2026-45321, bewertet mit CVSS 9.6, dokumentiert die Kompromittierung der @tanstack/*-Pakete im npm-Register. Am 11.05.2026 erschienen zwischen 19.20 und 19.26 Uhr UTC insgesamt 84 bösartige Versionen über 42 Pakete der Router- und Start-Familie.

Modulares Hacking-Framework kompromittiert Cloud-Dienste

PCPJack stiehlt Cloud-Zugangsdaten und verdrängt Konkurrent TeamPCP

Angriff über vertrauenswürdiges Publishing

Die Veröffentlichung lief über das legitime OIDC-Trusted-Publisher-Binding der GitHub Actions für das Repository TanStack/router. Den Publish-Workflow selbst veränderte der Angreifer nicht. Er übernahm die vertrauenswürdige Identität der Release-Pipeline mitten im Ablauf und schleuste den Schadcode unter dieser Kennung ein.

Den Weg dorthin ebnete die Verkettung dreier bekannter Schwachstellenklassen. Eine fehlerhafte Konfiguration des Triggers pull_request_target öffnete fremdem Code Ausführungsrechte im Kontext des Basis-Repositories. Über Cache Poisoning an der Vertrauensgrenze zwischen Fork und Basis brachte der Angreifer präparierte Inhalte in nachfolgende Builds ein. Im kompromittierten Runner las er das OIDC-Token direkt aus dem Speicher des Actions-Prozesses aus. Mit diesem Token signierte und veröffentlichte die Pipeline die Schadpakete unter der echten Herausgeber-Identität.

Mini Shai-Hulud startet Schadcode bei jedem Python-Aufruf

Supply-Chain-Worm Miasma stiehlt Cloud-Zugangsdaten über PyPI

Diebstahl von Anmeldedaten und Selbstverbreitung

Der Schadcode lief bei jeder Installation eines betroffenen Pakets über npm, pnpm oder yarn an. Er sammelte Anmeldedaten aus Entwickler- und CI-Umgebungen, darunter Cloud-Zugänge, Kubernetes- und Vault-Tokens, npm- und GitHub-Tokens sowie private SSH-Schlüssel. Die erbeuteten Zugänge dienten der weiteren Ausbreitung, denn mit gestohlenen Maintainer-Rechten brachte der Angriff zusätzliche manipulierte Pakete in Umlauf.

Innerhalb weniger Stunden erreichte die Welle weitere Anbieter im npm- und PyPI-Ökosystem. Nach Angaben von OpenAI betraf der Vorfall im Unternehmen zwei Mitarbeitergeräte. Sicherheits­forscher ordnen den Angriff einer Reihe selbstverbreitender npm-Kampagnen zu, die unter dem Namen „Mini Shai-Hulud" bekannt sind.

Microsoft warnt Kunden vor gestohlenen GitHub-Credentials

Miasma-Wurm befällt 73 Microsoft-Repositories und stiehlt KI-Logindaten

Bereinigung und betroffene Pakete

Verwundbar war allein das Router- und Start-Repository von TanStack mit 42 Paketen zu je zwei Versionen. Andere Familien wie Query, Table, Form, Store und Virtual blieben außen vor. Der Hersteller hat alle manipulierten Versionen innerhalb einer Stunde als veraltet markiert, npm entfernte sie kurz darauf aus der Registry. Jede aktuell verfügbare Version der TanStack-Pakete ist nach Herstellerangaben sicher.

Entwickler und CI-Umgebungen, die am 11.05.2026 eine betroffene Version eingespielt haben, sollten die erreichbaren Zugänge erneuern, darunter Schlüssel für AWS, Google Cloud und Kubernetes sowie Vault-, GitHub-, npm- und SSH-Zugänge. Als zusätzliche Absicherung empfiehlt sich das Deaktivieren der Lifecycle-Skripte beim Installieren über den Parameter „ignore-scripts". Die CISA nahm CVE-2026-45321 am 27.05.2026 in ihren KEV-Katalog auf und setzte US-Bundesbehörden eine Frist zum 10. Juni 2026. Ein deutliches Signal der Dringlichkeit.

npm-Lieferkettenangriff auf KI-Framework Mastra

Gekapertes npm-Konto schleust Schadcode in 140 Mastra-Pakete

Fazit

Der Fall zeigt die Tragweite kompromittierter Release-Pipelines, deren Veröffentlichungen über vertrauenswürdige Identitäten und gültige Provenance-Nachweise laufen. Eine Prüfung allein anhand der Herausgeber-Signatur greift damit zu kurz. Die hohe Verbreitung der Router-Pakete mit Millionen wöchentlicher Downloads vergrößert die Angriffsfläche jeder einzelnen manipulierten Version.

(ID:50864013)