TrapDoor: Großangelegte Supply-Chain-Attacke aufgedeckt
Sicherheitsforschern ist eine koordinierte Malware-Kampagne aufgefallen, die systematisch mehrere Package-Ökosysteme infiltriert hat. Die Angriffskampagne, genannt TrapDoor, nutzt die hohe Verbreitung von Open-Source-Abhängigkeiten aus, um Credential-Stealing-Malware zu verteilen.
Umfang und Zeitrahmen
Die Attacke ist bemerkenswert für ihre Breite: Über 34 bösartige Pakete wurden in insgesamt 384 verschiedenen Versionen verbreitet. Die ersten Aktivitäten wurden am 22. Mai 2026 um 20:20 UTC dokumentiert. Danach folgten koordinierte neue Uploads in Wellen über npm (JavaScript), PyPI (Python) und Crates.io (Rust).
Dieser Multi-Ökosystem-Ansatz deutet auf eine gut organisierte Operation hin, die gezielt verschiedene Entwickler-Communities anvisiert.
Funktionsweise und Bedrohung
Die Malware konzentriert sich primär auf das Diebstahl von Zugangsdaten. Entwickler, die diese Packages installieren, riskieren die Kompromittierung von:
- API-Keys und Authentifizierungstokens
- SSH- und Git-Credentials
- Umgebungsvariablen mit sensiblen Konfigurationen
- Cloud-Provider-Anmeldedaten
Da Supply-Chain-Angriffe in der Lieferkette ansetzen, können betroffene Entwickler wiederum ihre Nutzer gefährden.
Handlungsempfehlungen
Entwickler sollten sofort folgende Schritte durchführen:
- Dependency-Audits durchführen – npm audit, pip audit und cargo audit nutzen
- Lock-Files überprüfen – Verdächtige Updates in den letzten Wochen identifizieren
- Verdächtige Packages deinstallieren – Eine aktuelle Liste ist über CISA und GitHub Security Advisories verfügbar
- Zugangsdaten rotieren – Insbesondere wenn direkt nach der Installation verdächtige Aktivität stattfand
- Supply-Chain-Monitoring erweitern – Tools wie Snyk oder WhiteSource können verdächtige Abhängigkeiten früher identifizieren
Lessons Learned
TrapDoor unterstreicht eine bekannte Realität: Das Open-Source-Ökosystem ist nur so sicher wie seine am wenigsten gesicherte Dependency. Große Angriffsflächen entstehen durch:
- Wenig gepflegte, aber weit verbreitete Packages
- Unzureichende Code-Review-Prozesse in Registries
- Mangelnde Zwei-Faktor-Authentifizierung bei Package-Betreibern
Organisationen sollten verstärkt in Dependency-Management und Visibility investieren, um solche Attacken früher zu erkennen.