Red Hat npm-Pakete mit Malware infiziert
Unbekannte Angreifer haben über 30 npm-Pakete von Red Hat Cloud Services mit einer neuen Malware-Variante namens Mini Shai-Hulud kompromittiert. Die infizierte Software zielt speziell auf Anmeldedaten ab, die in den Build-Umgebungen von Entwicklern gespeichert sind.
Zeitpunkt und Verbreitung
Die manipulierten Pakete wurden am 1. Juni 2026 in zwei verschiedenen GitHub-Repositories veröffentlicht. Die erste Welle erschien zwischen 10:53 und 10:53:33 UTC, eine zweite zwischen 13:44 und 13:46:47 UTC. Wiz Security zufolge war ein spezifisches Red Hat-Mitarbeiter-GitHub-Konto kompromittiert worden. Über diesen Account konnten die Angreifer "bösartige Orphan-Commits" in die Repositories pushen.
Wie Mini Shai-Hulud funktioniert
Die Malware nutzt eine etablierte Supply-Chain-Attack-Strategie: Sie wird über legitim wirkende npm-Pakete verbreitet, die als vertrauenswürdig eingestuft werden. Im Buildprozess werden dann Credentials aus der Umgebung extrahiert – typischerweise API-Keys, SSH-Schlüssel oder Authentifizierungstokens, die in Umgebungsvariablen gespeichert sind.
Solche Anmeldedaten sind wertvoll für Angreifer, da sie Zugriff auf weitere Systeme und Repositories ermöglichen. Mit erbeuteten Credentials können weitere Supply-Chain-Attacken durchgeführt oder laterale Bewegungen im Netzwerk eingeleitet werden.
Risiken für Entwickler und Organisationen
Das Szenario zeigt ein zentrales Supply-Chain-Risiko: Pakete von bekannten Quellen werden oft mit erhöhtem Vertrauen installiert. Wenn solche Quellen kompromittiert sind, können tausende abhängige Projekte betroffen sein. Besonders kritisch ist der Zugriff auf Credentials in Build-Pipelines – diese ermöglichen oft weitreichendere Änderungen als reguläre Developer-Accounts.
Schutzmaßnahmen
Organisationen sollten npm-Pakete auf unerwartete Verhaltensweisen überwachen, insbesondere auf Netzwerkzugriffe während Installation oder Build. Die Nutzung von Secrets Management Tools kann helfen, sensible Daten nicht als Plain-Text-Environment-Variablen bereitzustellen. Code Review Prozesse und Package Signing bieten zusätzliche Sicherheit. Red Hat-Kunden sollten umgehend prüfen, welche Versionen der betroffenen Pakete in ihren Builds verwendet werden.