Massive Supply-Chain-Kampagne gegen npm und PyPI
Sicherheitsforschern ist ein großflächiger Supply-Chain-Angriff aufgefallen, der über 100 Pakete in den beliebten Repositorien npm (JavaScript) und PyPI (Python) betroffen hat. Die Angriffskampagne trägt die Bezeichnung Shai-Hulud und zeichnet sich durch eine besondere Eigenschaft aus: Sie ist selbstreproduzierend.
Automatische Verbreitung als Kernmerkmal
Was diese Angriffe besonders problematisch macht, ist der Mechanismus der Selbstverbreitung. Die kompromittierten Pakete laden nicht nur Payload herunter, sondern installieren sich aktiv in anderen Abhängigkeiten ein. Dadurch kann sich der Angriff exponentiell ausbreiten – jedes befallene Paket wird zur potentiellen Infektionsquelle für weitere Projekte.
Miasma und Hades: Neue Varianten
Die aktuellen Varianten dieser Angriffskampagne sind unter den Namen Miasma und Hades bekannt. Diese Weiterentwicklungen deuten darauf hin, dass die Angreifer ihre Taktiken kontinuierlich anpassen und verfeinern, um Erkennungsmechanismen zu umgehen.
Risiko für Entwickler und Unternehmen
Da npm und PyPI zentrale Komponenten der modernen Softwareentwicklung sind, ist die Reichweite dieser Angriffe erheblich. Entwickler, die betroffene Pakete installieren oder als Abhängigkeiten nutzen, können unwissentlich kompromittierter Code in ihre Projekte einschleusen. Dies gefährdet nicht nur die Entwicklungsumgebung, sondern potenziell auch die bereitgestellten Anwendungen.
Besonders tückisch: Da die Pakete in etablierten Repositorien hosten und sich selbst verbreiten, können sie lange Zeit unentdeckt bleiben. Standard-Dependency-Scanning erklärt betroffene Pakete möglicherweise nicht sofort als verdächtig.
Konsequenzen und nächste Schritte
Solche Angriffe unterstreichen die Bedeutung von:
- Regelmäßiger Audit der verwendeten Dependencies
- Supply-Chain-Security-Tools, die Abhängigkeitsbaum überwachen
- Schnellen Patches bei bekannten Kompromittierungen
- Minimaler Abhängigkeit-Tiefe im Projektaufbau
Die npm- und PyPI-Sicherheitsteams arbeiten bereits an der Entfernung betroffener Pakete. Entwickler sollten ihre Abhängigkeiten überprüfen und verdächtige Versionen unverzüglich aktualisieren.