Neue Malware-Kampagne gefährdet Cloud-Anmeldeinformationen im npm-Ökosystem

Umfassende Malware-Kampagne bedroht Cloud-Infrastrukturen über npm

In der Welt der Softwareentwicklung, insbesondere im JavaScript-Ökosystem, hat sich eine bedrohliche Entwicklung abgezeichnet: Eine ausgeklügelte Malware-Kampagne, die auf das npm-Register abzielt, ist darauf ausgelegt, sensible Cloud-Anmeldeinformationen von Entwicklern zu stehlen. Diese Kampagne, die unter anderem als "Shai-Hulud" bekannt ist, stellt eine signifikante Gefahr für die Lieferketten von Software dar und erfordert eine detaillierte Analyse sowie proaktive Gegenmaßnahmen.

Der Modus Operandi der Angreifer

Die Angreifer nutzen eine Kombination aus Social Engineering und technischen Raffinessen, um ihre Ziele zu erreichen. Der initiale Infektionsvektor ist oft das sogenannte "Typosquatting", bei dem bösartige Pakete mit Namen, die legitimen und populären Bibliotheken ähneln, im npm-Register platziert werden. Entwickler, die versehentlich ein solches Paket installieren, lösen unwissentlich eine mehrstufige Angriffssequenz aus.

Einmal installiert, nutzt die Malware den postinstall-Hook von npm, eine Standardfunktion, um sofort Code auszuführen. Um die Entdeckung zu erschweren, wird der bösartige Prozess oft in einem neuen Terminalfenster gestartet und zeigt sogar eine gefälschte CAPTCHA-Abfrage an. Dies dient dazu, den Nutzer abzulenken und die Ausführung der Malware zu verzögern, um einen direkten Zusammenhang mit der Paketinstallation zu verschleiern. Während dieser Zeit identifiziert die Malware die IP-Adresse des Opfers und lädt die eigentliche Nutzlast herunter.

Die Nutzlast: Ein multifunktionaler Datendieb

Die heruntergeladene Nutzlast ist ein hochentwickelter Informationsdieb, der plattformübergreifend auf Windows-, macOS- und Linux-Systemen agiert. Sie ist durch vier verschiedene Obfuskationsschichten geschützt, darunter Eval-Wrapper, XOR-Verschlüsselung und Kontrollfluss-Obfuskation. Diese Techniken machen die statische Analyse und Erkennung durch Sicherheitstools erheblich schwieriger.

Der Hauptzweck dieser Malware besteht darin, "Kronjuwelen" moderner Unternehmen zu stehlen: Anmeldeinformationen für Cloud-Dienste. Sie durchsucht gezielt Dateisysteme nach Konfigurationsdateien, die für folgende Dienste relevant sind:

• AWS (Amazon Web Services): ~/.aws/credentials
• Kubernetes: ~/.kube/config
• Docker: ~/.docker/config.json

Der Diebstahl dieser Dateien kann Angreifern direkten Zugriff auf die gesamte Cloud-Infrastruktur eines Unternehmens ermöglichen. Dies könnte zur Kompromittierung von Datenbanken, zur Störung von Diensten oder zur Exfiltration sensibler Kundendaten führen.

Ein weiterer kritischer Aspekt ist die Fähigkeit der Malware, Browser-Sitzungscookies zu extrahieren. Dadurch können Angreifer die Multi-Faktor-Authentifizierung (MFA) umgehen und sich als legitimierte Benutzer an wichtigen Webkonsolen wie der AWS Console, dem Azure Portal oder der Google Cloud Console anmelden. Auch der Zugriff auf Quellcode-Repositories wie GitHub und GitLab wird so ermöglicht.

Zusätzlich werden moderne API-Authentifizierungsmechanismen wie OAuth- und JWT-Tokens ins Visier genommen. Diese Tokens sind entscheidend für CI/CD-Pipelines und die Kommunikation zwischen Diensten. Ihr Diebstahl kann Angreifern langfristigen Zugang zu Unternehmenssystemen verschaffen.

Die "Shai-Hulud"-Kampagne und ihre Ausbreitung

Die "Shai-Hulud"-Kampagne zeichnet sich durch ihre selbstverbreitende Natur aus. Nachdem sie sich initialen Zugang verschafft hat, scannt die Malware die Umgebung nach sensiblen Anmeldeinformationen, insbesondere GitHub Personal Access Tokens (PATs) und API-Schlüssel für Cloud-Plattformen. Diese gestohlenen Daten werden an Endpunkte der Angreifer exfiltriert und in einem öffentlichen Repository namens "Shai-Hulud" auf GitHub hochgeladen.

Mithilfe der gestohlenen npm-Tokens veröffentlicht die Malware dann automatisierte, kompromittierte Versionen weiterer Pakete unter der Kontrolle des Entwicklers. Dieser Wurm-ähnliche Propagationsmechanismus führt zu einer exponentiellen Ausbreitung der Infektion im npm-Ökosystem. Berichte deuten darauf hin, dass bereits Hunderte von Paketen von dieser Kampagne betroffen waren.

Die Malware etabliert zudem Persistenz, indem sie bösartige GitHub Actions Workflows (oft benannt als shai-hulud-workflow.yml) in zugängliche Repositories pusht. Diese Workflows exfiltrieren weitere Geheimnisse und können sogar private Unternehmens-Repositories in öffentliche umwandeln, die dann mit "Shai-Hulud Migration" gekennzeichnet sind.

Implikationen für Unternehmen

Die aktuelle Malware-Kampagne ist ein ernstzunehmender Stresstest für die Governance der Software-Lieferketten in Unternehmen. Angesichts der Tatsache, dass einige der bösartigen npm-Pakete über Monate hinweg aktiv waren, müssen Unternehmen, die diese Pakete verwendet haben, von einer vollständigen Kompromittierung ihrer Systeme ausgehen.

Eine umfassende Reaktion ist unerlässlich. Sicherheitsteams müssen unverzüglich alle potenziell kompromittierten Anmeldeinformationen rotieren. Dazu gehören der Widerruf aller OAuth- und JWT-Tokens, die Rotation aller API-Schlüssel und die Ungültigkeitserklärung aller Entwickler-SSH-Schlüssel. Sämtliche Anmeldeinformationen, die in System-Keyrings (wie Windows Credential Manager oder macOS Keychain) und Browser-Passwortmanagern auf betroffenen Maschinen gespeichert sind, müssen als gestohlen betrachtet werden.

Gleichzeitig ist es für Sicherheitsoperationsteams entscheidend, aktiv nach Bedrohungen zu suchen. Protokolle sollten auf Verbindungen zu den Command-and-Control-Servern der Angreifer (z.B. IP-Adresse 195.133.79.43) und auf Anzeichen von lateralen Bewegungen, die von Entwickler-Workstations ausgehen, überprüft werden.

Präventive Maßnahmen und zukünftige Resilienz

Dieser Vorfall unterstreicht, dass das Abhängigkeitsmanagement nicht als nachrangige Entwicklungsaufgabe behandelt werden darf. Die Implementierung von Sicherheitstools, die bösartige Pakete vor der Installation scannen, wie zum Beispiel Dependency Firewalls oder fortgeschrittene CLI-Scanner, ist von grundlegender Bedeutung. Sicherheit muss direkt in die CI/CD-Pipeline und die lokale Entwicklungsumgebung integriert werden, nicht nur am Netzwerkperimeter.

Unternehmen sollten folgende Maßnahmen in Betracht ziehen, um ihre Software-Lieferketten zu stärken:

• Regelmäßige Überprüfung von Abhängigkeiten: Führen Sie regelmäßige Audits Ihrer Projekt-Abhängigkeiten durch, um bösartige oder anfällige Pakete zu identifizieren.
• Pinning von Abhängigkeiten: Fixieren Sie die Versionen Ihrer npm-Pakete auf bekannte, sichere Releases und vermeiden Sie offene Versionsbereiche.
• Multi-Faktor-Authentifizierung (MFA): Erzwingen Sie eine phishing-resistente MFA für alle Entwicklerkonten, insbesondere für kritische Plattformen wie GitHub und npm.
• Überwachung des Netzwerkverkehrs: Blockieren Sie ausgehende Verbindungen zu bekannten Exfiltrationsdomänen und überwachen Sie Firewall-Protokolle auf verdächtige Aktivitäten.
• Härtung von GitHub-Sicherheitsmaßnahmen: Entfernen Sie unnötige GitHub Apps und OAuth-Anwendungen, prüfen Sie Repository-Webhooks und Geheimnisse. Aktivieren Sie Branch-Protection-Regeln und GitHub Secret Scanning Alerts.
• Schulung der Entwickler: Sensibilisieren Sie Entwickler für die Risiken von Typosquatting und die Bedeutung sorgfältiger Paketprüfung.
• Einführung von "Cooldown-Perioden": Verzögern Sie die Einführung neuer Paketversionen in Produktionsumgebungen, um Zeit für Sicherheitsprüfungen zu gewinnen.

Die kontinuierliche Weiterentwicklung von Angriffsmethoden erfordert eine ebenso dynamische Anpassung der Verteidigungsstrategien. Die "Shai-Hulud"-Kampagne ist ein klares Signal, dass die Sicherheit der Software-Lieferkette eine ständige Wachsamkeit und proaktive Maßnahmen erfordert, um die Integrität und Vertraulichkeit von Unternehmensdaten zu gewährleisten.

Bibliographie

• SentinelLabs. (2025, Oktober 30). Cloudy with a chance of credentials - AWS-targeting cred stealer expands to Azure, GCP. Global Security Mag Online.
• Sharma, A. (2025, Oktober 2). This Week in Malware - npm Malware Exfiltrates Windows SAM, Amazon EC2 Credentials. Sonatype.
• Sharma, A. (2025, Oktober 1). npm Packages Caught Exfiltrating Kubernetes Config, SSH Keys. Sonatype.
• Tischler, N. (2025, Oktober 20). Targeted npm Malware Attempts to Steal Company Source Code and Secrets. Veracode.
• Kodem Security Research Team. (2025, September 15). When NPM Goes Rogue: The @ctrl/tinycolor Supply-Chain Attack. Kodem.
• Cipollone, F. (2025, September 16). Shai-Hulud – npm’s Latest Supply Chain Breach: @ctrl/tinycolor and 526+ Packages, including CrowdStrike. What Actually Happened and How to Recover with ASPM?. Phoenix Security.
• McGuire, M. (2025, September 18). npm Malware Attack: Understanding the Shai-Hulud Threat. Black Duck.
• Sonatype Security Research Team. (2025, September 17). Ongoing npm Software Supply Chain Attack Exposes New Risks. Sonatype.
• FortiGuard Labs. (2025, September 23). npm Supply Chain Attack - Threat Signal Report. FortiGuard.
• CISA. (2025, September 23). Widespread Supply Chain Compromise Impacting npm Ecosystem. CISA.gov.
• Daws, R. (2025, Oktober 29). Malware campaign on npm steals AWS, GCP, and Azure cloud keys. Developer-Tech.com.