{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"600 NPM-Pakete wurden durch den Shai-Hulud-Wurm kompromittiert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ein zweiter Angriff auf Pakete im NPM-Repository wurde erkannt, durchgef\u00fchrt mit einer Modifikation des sich selbst verbreitenden Wurms Shai-Hulud, der schadhafter Software in Abh\u00e4ngigkeiten einschleust. Infolge des Angriffs wurden sch\u00e4dliche Versionen von 605 Paketen ver\u00f6ffentlicht, die insgesamt mehr als 100 Millionen Downloads umfassen. <\/p>\n
Um den Angriff durchzuf\u00fchren, haben die Angreifer durch Phishing die Kontodaten des Betreuers eines der beliebten Pakete abgefangen, das als Abh\u00e4ngigkeit von einer Vielzahl von Paketen verwendet wird. Mit den erbeuteten Kontodaten ver\u00f6ffentlichten die Angreifer eine Version des Pakets, in die Code eingef\u00fcgt wurde, um den Wurm bei der Installation des betroffenen Pakets in den Abh\u00e4ngigkeiten zu aktivieren. Der gestartete Wurm sucht nach Anmeldedaten in der aktuellen Umgebung, indem er das Tool TruffleHog herunterl\u00e4dt und ausf\u00fchrt. <\/p>\n
Wenn ein Verbindungstoken zum NPM-Katalog entdeckt wird, ver\u00f6ffentlicht der Wurm automatisch neue schadhafte Releases f\u00fcr Pakete, die in der aktuellen Umgebung entwickelt werden. Auf diese Weise wird die gesamte Abh\u00e4ngigkeitsstruktur infiziert. Neben dem NPM-Token speichert der Wurm auch Zugangskeys zu GitHub sowie zu den Cloud-Diensten AWS, Azure und GCP (Google Cloud Platform) sowie Umgebungsvariablen und andere vertrauliche Daten, die der TruffleHog-Scanner entdecken kann. <\/p>\n
Gefundene vertrauliche Daten im System werden \u00fcber die Erstellung von Repositories mit zuf\u00e4lligen Namen (z. B. «qzx15djl71alh6p80h») und dem Satz «Sha1-Hulud: The Second Coming» in der Beschreibung auf GitHub ver\u00f6ffentlicht und erscheinen auch codiert in den Logs von GitHub Actions. Im erstellten Repository befindet sich eine Datei im JSON-Format (z. B. jsonactionsSecrets.json oder contents.json), die eine Zeichenkette mit base64-codierten Informationen \u00fcber das System, Umgebungsvariablen und erfasste Daten enth\u00e4lt. Um Informationen aus fortlaufenden Integrationssystemen auf Basis von GitHub nach au\u00dfen zu \u00fcbertragen, erstellt der Wurm einen GitHub Actions Handler mit dem Namen «.github\/workflows\/formatter_123456789.yml» und konfiguriert einen Runner mit dem Namen SHA1HULUD. <\/p>\n
Die Unterschiede zu einem \u00e4hnlichen Angriff im September bestehen in einer anderen Methode zur Injektion von sch\u00e4dlichem Code in das Paket. In den vom Wurm erstellten sch\u00e4dlichen Releases wird die Unterst\u00fctzung der JavaScript-Plattform Bun implementiert. In die Datei package.json wird im Abschnitt «preinstall», der die Skripte definiert, die vor Beginn der Installation ausgef\u00fchrt werden, der Befehl «node setup_bun.js» hinzugef\u00fcgt.
<\/center> <\/p>\n
In der Datei <setup_bun.js> befindet sich Code zur Ausf\u00fchrung eines obfuskierten Skripts <bun_environment.js>, das Code eines Wurms enth\u00e4lt. F\u00fcr seine weitere Verbreitung findet der Wurm den Code der Pakete, nimmt \u00c4nderungen an der Datei package.json vor (erh\u00f6ht die Versionsnummer und f\u00fcgt den Aufruf von setup_bun.js hinzu), f\u00fcgt die Dateien setup_bun.js und bun_environment.js hinzu, packt das Paket neu und f\u00fchrt den Befehl <npm publish> aus, um die neue Version zu ver\u00f6ffentlichen. <\/p>\n
Unter den kompromittierten beliebten Paketen sind: @zapier\/zapier-sdk (2,8 Millionen Downloads pro Woche), @posthog\/core (2,8 Millionen), posthog-node (1,5 Millionen), @asyncapi\/specs (1,4 Millionen), @postman\/tunnel-agent (1,2 Millionen). Es wird angenommen, dass der Angriff mit der Kompromittierung des begleitenden Pakets @asyncapi\/specs begann. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"600](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n