Stärkere "wurmartige" Ausbreitung
Shai-Hulud 2.0: Wie sich ein Supply-Chain-Wurm weiterentwickelt
Die zweite Angriffswelle umfasst fast 200 weitere kompromittierte Pakete und erhöht die Gesamtzahl der betroffenen Versionen auf fast 800
Als die erste Welle der Shai-Hulud-Kampagne im Jahr 2025 bekannt wurde, entwickelte sich der Vorfall rasch zu einem der schwerwiegendsten Angriffe im gesamten JavaScript-Ökosystem. Die Sicherheitsforscher von JFrog gehörten zu den ersten, die den Angriff umfassend analysierten und dabei aufdeckten, dass Hunderte von npm-Paketen kompromittiert worden waren. Ein selbstreplizierender Wurm stahl Zugangsdaten, erbeutete Cloud-Token und veröffentlichte manipulierte Paketversionen automatisiert erneut.
Mehr Reichweite und mehr Raffinesse
Neue Untersuchungen von JFrog bestätigen inzwischen, dass Shai-Hulud nicht nur zurückgekehrt ist, sondern sich deutlich weiterentwickelt hat. Die zweite Angriffswelle umfasst fast 200 weitere kompromittierte Pakete und erhöht die Gesamtzahl der betroffenen Versionen auf fast 800. Da die Angriffe weiterlaufen und fortlaufend neue Varianten entdeckt werden, liegt die Zahl der kompromittierten Paketversionen inzwischen bereits bei über 1.000.
Guy Korolevski, Security Researcher bei JFrog, unterstreicht die Dimension dieses Angriffs:
"Die neue Welle des Shai-Hulud-Supply-Chain-Angriffs stellt eine ernsthafte Verschärfung der Bedrohungslage dar und trifft das npm-Ökosystem erneut. Der selbstreplizierende Wurm stiehlt nicht nur Zugangsdaten, sondern löscht inzwischen auch Daten, wenn bei den betroffenen Systemen keine wertvollen Tokens vorhanden sind. Mit bislang 181 neu entdeckten kompromittierten Paketen und insgesamt 795 betroffenen Versionen ist das Risiko erheblich. Unternehmen sollten umgehend alle potenziell kompromittierten Tokens austauschen. Außerdem müssen sie von reaktiven zu vorbeugenden Maßnahmen übergehen, etwa indem neue Paketversionen für 14 Tage in Quarantäne gehalten werden. Dieser Zeitraum hat sich als wirksam erwiesen, um bösartige Updates wie bun_environment.js frühzeitig zu erkennen und vom Eindringen in die Software-Lieferkette abzuhalten."
Die neuen Erkenntnisse zeigen, dass sich das Verhalten des Wurms in zentralen Punkten verändert hat. Statt der bisherigen Payload setzen die Angreifer nun auf ein bösartiges Skript namens bun_environment.js, das über einen Preinstall-Hook eingebracht wird. Nach der Ausführung überprüft das Skript, ob die Bun-Laufzeitumgebung vorhanden ist, und lädt sie bei Bedarf selbstständig herunter. Dieser Wechsel zu Bun ist mehr als ein technischer Nebenaspekt. Er erlaubt den Angreifern, in einer Umgebung zu agieren, die von vielen Organisationen erst am Rande überwacht wird. Da der Wurm nicht mehr im klassischen Node.js-Kontext läuft, steigt seine Chance, unentdeckt zu bleiben.
Die zweite Welle zeigt zudem eine ausgeprägtere Persistenz und stärkere "wurmartige” Ausbreitung. Der Wurm sammelt weiterhin Credentials für GitHub, npm und Cloud-Dienste, exfiltriert diese jedoch inzwischen in zufällig erzeugte Repositories. Dadurch lassen sich Angriffsspuren deutlich schwerer erkennen. Sobald gültige Tokens vorliegen, scannt der Wurm zugängliche Pakete, injiziert schädlichen Code, erhöht Versionsnummern und veröffentlicht manipulierte Releases automatisch. Jede kompromittierte Entwicklerumgebung wird so zum Multiplikator weiterer Infektionen. Darüber hinaus richtet sich die Kampagne zunehmend gegen CI/CD-Pipelines, indem sie nach entsprechenden Umgebungsvariablen sucht, Privilegienausweitungen versucht und Netzwerkparameter wie DNS-Konfigurationen manipuliert.
Strategische Auswirkungen auf Unternehmen
Die neuen Erkenntnisse machen deutlich, dass Shai-Hulud nicht als isolierter Vorfall betrachtet werden kann, sondern als skalierbarer Mechanismus der Software-Supply-Chain-Kompromittierung. Entwicklerrechner, Build-Server und Cloud-Konten liegen ebenso im Angriffsbereich wie nachgelagerte Nutzer kompromittierter Pakete. Da sich die Malware über legitime Veröffentlichungsprozesse autonom verbreitet, kann bereits ein einziges kompromittiertes Maintainer-Konto Hunderte weiterer Systeme infizieren.
Für Unternehmen bedeutet dies, dass die Bedrohung nicht nur technischer Natur ist, sondern tief in operative und strategische Bereiche hineinreicht. Konsequentes Abhängigkeitsmanagement, abgesicherte CI/CD-Prozesse, sorgfältige Token-Hygiene und die Isolation von Build-Umgebungen werden zu unerlässlichen Bestandteilen einer modernen Sicherheitsstrategie. Die Rotation potenziell kompromittierter Zugangsdaten ist zwingend. Ebenso wichtig ist die Umstellung auf präventive Maßnahmen. Eine Quarantänephase für neue Paketversionen, wie von Korolevski empfohlen, verschafft wertvolle Zeit, um bösartige Updates zu identifizieren, bevor sie produktive Umgebungen erreichen.
Fazit
Die zweite Welle der Shai-Hulud-Kampagne zeigt, wie sich Angriffe auf die Software-Supply-Chain zu automatisierten, hartnäckigen und hochentwickelten Operationen entwickeln. Für Unternehmen in Deutschland und weltweit markiert dies einen Wendepunkt. Vertrauen in öffentliche Paketökosysteme darf nicht mehr vorausgesetzt werden. Es muss kontinuierlich überprüft werden. Durch strengere Richtlinien für Abhängigkeiten, eine robuste Absicherung von CI/CD-Prozessen und präventive Maßnahmen wie Quarantänezeiten können Organisationen das Risiko reduzieren, dass sich zukünftige Varianten von Shai-Hulud oder ähnliche Bedrohungen in ihre Softwarelieferkette einschleusen. (JFrog: ra)
eingetragen: 01.12.25
Jfrog: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.