- In der NPM-Registry wurden mehr als 1.000 Komponenten innerhalb weniger Stunden nach demselben Muster infiziert und neue Versionen mit Schadcode veröffentlicht
- Die bösartigen Pakete tarnten sich als Installationsskript für die Bun-Runtime und fügten
setup_bun.js sowie das obfuskierte bun_environment.js hinzu; bei der Ausführung wurden mit TruffleHog lokale Zugangsdaten abgegriffen
- Gesammelte sensible Daten wie AWS/GCP/Azure-, GitHub- und NPM-Tokens wurden über einen GitHub-Actions-Runner namens
SHA1HULUD nach außen übertragen
- Das bösartige Skript führte automatisch
npm publish aus und übernahm damit eine wurmartige Selbstreplikation, wodurch letztlich mehr als 27.000 GitHub-Repositories infiziert wurden
- Der Vorfall gilt als erneutes Beispiel dafür, wie stark die Bedrohung der Supply-Chain-Sicherheit im gesamten Open-Source-Ökosystem ist
Überblick über den Angriff
- Am 24. November 2025 erkannte HelixGuard in der NPM-Registry, dass mehr als 1.000 Pakete innerhalb weniger Stunden mit derselben Methode infiziert worden waren
- Die neuen Versionen gaben vor, die Bun-Runtime hinzuzufügen, und enthielten das Skript
preinstall: node setup_bun.js
- Die mit ausgelieferte Datei
bun_environment.js war obfuskierter Schadcode, der beim Ausführen TruffleHog herunterlud und startete
- TruffleHog scannte die lokale Umgebung und stahl dabei NPM-Tokens, AWS/GCP/Azure-Zugangsdaten, Umgebungsvariablen und mehr
- Die abgegriffenen Informationen wurden genutzt, um den GitHub-Actions-Runner
SHA1HULUD zu erstellen, und über ein GitHub-Repository mit der Beschreibung Sha1-Hulud: The Second Coming. nach außen exfiltriert
- HelixGuard weist darauf hin, dass hinter diesem Angriff wahrscheinlich derselbe Akteur steckt wie beim „Shai-Hulud“-Vorfall im September 2025
Analyse des Schadcode-Verhaltens
- Bei der Analyse des Pakets
@asyncapi/specs zeigte sich beispielhaft, dass die in NPM veröffentlichte Version infiziert war, während das ursprüngliche GitHub-Repository sicher blieb
- Die Angreifer modifizierten
package.json, fügten setup_bun.js hinzu und konfigurierten das Skript so, dass es bun_environment.js aufruft
bun_environment.js ist eine stark obfuskierte JavaScript-Datei mit einer Größe von mehr als 10 MB; ihre Hauptfunktionen sind:
- Sammeln von Cloud-Zugangsdaten und Tokens aus Umgebungsvariablen
- Scannen nach geheimen Schlüsseln mit TruffleHog
- Datenexfiltration über GitHub Actions
- Zusätzlich änderte der Code
package.json, fügte die Infektionslogik ein und führte automatisch npm publish aus, um sich wurmartig weiterzuverbreiten
GitHub-Infektion und Datenexfiltration
- Das bösartige Skript erstellt die Datei
.github/workflows/formatter_123456789.yml und registriert den Runner SHA1HULUD
- Dieser Workflow verpackt die Geheimnisse des Repositories in eine Datei
actionsSecrets.json, die doppelt mit Base64 kodiert ist
- Anschließend wird ein GitHub-Repository mit zufälligem Namen und der Beschreibung
Sha1-Hulud: The Second Coming. erstellt, um die Daten hochzuladen
- HelixGuard bestätigte, dass mehr als 27.000 GitHub-Repositories infiziert wurden
- Zu den gestohlenen Geheimnissen gehörten Zugangsdaten für verschiedene Dienste wie
AWS_ACCESS_KEY_ID, SLACK_WEBHOOK_URL, CODECOV_TOKEN und WEBFLOW_TOKEN
Liste infizierter Pakete
- HelixGuard berichtet, dass Hunderte von NPM-Paketen infiziert wurden
- Dazu gehören unter anderem Pakete wichtiger Organisationen wie
@asyncapi, @ensdomains, @posthog, @zapier, @postman und @voiceflow
- Bei jedem Paket waren mehrere Versionen betroffen, etwa
@asyncapi/specs@6.8.2 und @postman/csv-parse@4.0.5
- Die infizierten Pakete tarnten sich überwiegend als legitime Open-Source-Projekte; der Schadcode wurde in den automatisierten Veröffentlichungsprozess eingeschleust
Auswirkungen auf die Sicherheit
- Dieser Angriff zeigt, wie Schwachstellen in der Supply-Chain-Sicherheit ausgenutzt werden können, um das Open-Source-Ökosystem in großem Maßstab zu infizieren
- Er macht deutlich, dass die Sicherheit der gesamten Entwicklungsinfrastruktur rund um NPM, GitHub und Cloud-Zugangsdaten stärker abgesichert werden muss
- HelixGuard empfiehlt, die Installation infizierter Pakete sofort zu stoppen und betroffene Tokens sowie Zugangsdaten umgehend zu widerrufen
Noch keine Kommentare.