Hades: Die nächste Eskalation in der Miasma-Kampagne
Sicherheitsforscher haben eine neue Supply-Chain-Anschlagswell mit dem Namen Hades identifiziert. Sie ist Teil der andauernden Miasma-Kampagne und zielt diesmal gezielt auf Python-Entwickler ab.
Die Zahlen
Betroffen sind 19 Pakete im Python Package Index (PyPI) mit insgesamt 37 manipulierten Wheel-Artifacts. Das ist keine isolierte Aktion — es zeigt ein systematisches Vorgehen, bei dem Angreifer verschiedene Ökosysteme mit ähnlichen Taktiken durchsuchen und ihre Angriffsvektoren immer wieder neu anpassen.
Wie der Anschlag funktioniert
Die infizierte Pakete nutzen einen bewährten Trick: Sie enthalten *-setup.pth-Dateien. Solche Dateien werden beim Import automatisch von Python ausgeführt — ohne dass der Entwickler es bemerkt. Das ist ein klassischer Python-Mechanismus, den Angreifer hier für ihre Zwecke missbrauchen.
Der eigentliche Payload ist ein Bun Credential Stealer. Bun ist eine moderne JavaScript-Runtime, die in Entwicklerumgebungen zunehmend genutzt wird. Durch das Stehlen von Bun-Zugriffstoken können Angreifer auf Git-Repositories, Secrets und andere sensible Daten in der Entwicklerumgebung zugreifen.
Warum das besonders problematisch ist
Die Attacke kombiniert mehrere gefährliche Eigenschaften:
- Automatische Ausführung: setup.pth-Dateien laufen ohne explizite Aktivierung
- Zielgerichtete Ökosysteme: Angreifer haben gelernt, für jedes Ökosystem den richtigen Payload anzupassen
- Breitere Infrastruktur: Miasma deutet auf eine organisierte Kampagne hin, nicht auf Einzeltäter
- Developer-Tools im Fokus: Durch Bun wird gezielt versucht, Entwicklerumgebungen zu kompromittieren
Was Entwickler tun sollten
- PyPI-Pakete regelmäßig auf verdächtige Versionen überprüfen
- Abhängigkeiten aktuell halten, aber erst nach Sicherheitsprüfung
- Secrets und Access-Token streng segregieren
- Setup.pth-Dateien in installierten Paketen regelmäßig überprüfen
- Supply-Chain-Sicherheit ernst nehmen — nicht nur für Production-Code
Die Miasma-Kampagne zeigt ein hartnäckiges Muster: Angreifer lernen schnell und optimieren ihre Methoden für verschiedene Ziele. Wer davon ausgeht, dass sein Ökosystem "zu klein" oder "zu unbedeutend" ist, unterschätzt die Gefahr.
