{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Mit dem Wurm Shai-Hulud wurden 600 NPM-Pakete kompromittiert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ein zweiter Angriff auf Pakete im NPM-Repository wurde festgestellt, der mit einer Modifikation des selbstverbreitenden Wurms Shai-Hulud durchgef\u00fchrt wird, der sch\u00e4dliche Software in Abh\u00e4ngigkeiten einschleust. Infolge des Angriffs wurden sch\u00e4dliche Versionen von 605 Paketen ver\u00f6ffentlicht, die insgesamt mehr als 100 Millionen Downloads verzeichnen. <\/p>\n
Um den Angriff durchzuf\u00fchren, \u00fcberw\u00e4ltigten die Angreifer durch Phishing die Zugangsdaten des Betreuers eines der beliebten Pakete, das als Abh\u00e4ngigkeit von vielen Paketen verwendet wird. Unter Ausnutzung des erbeuteten Kontos ver\u00f6ffentlichten die Angreifer eine Version des Pakets, in die Code integriert wurde, der den Wurm aktiviert, wenn das betroffene Paket als Abh\u00e4ngigkeit installiert wird. Der aktivierte Wurm sucht nach Zugangsdaten im aktuellen Umfeld und l\u00e4dt das Tool TruffleHog herunter und f\u00fchrt es aus. <\/p>\n
Sollte ein Verbindungstoken zum NPM-Verzeichnis entdeckt werden, ver\u00f6ffentlicht der Wurm automatisch neue sch\u00e4dliche Versionen von Paketen, die im aktuellen Umfeld entwickelt werden. Auf diese Weise wird die gesamte Abh\u00e4ngigkeitsstruktur schrittweise infiziert. Neben dem NPM-Token speichert der Wurm auch Zugangsschl\u00fcssel f\u00fcr GitHub sowie f\u00fcr die Cloud-Dienste AWS, Azure und GCP (Google Cloud Platform) sowie Umgebungsvariablen und andere vertrauliche Daten, die der Scanner TruffleHog erfassen kann. <\/p>\n
Entdeckte vertrauliche Daten im System werden \u00fcber die Erstellung von Repositories mit zuf\u00e4lligen Namen (z.B. «qzx15djl71alh6p80h») auf GitHub ver\u00f6ffentlicht, wobei die Phrase «Sha1-Hulud: The Second Coming» in der Beschreibung enthalten ist. Zudem erscheinen sie in kodierter Form in den Logs von GitHub Actions. Im erstellten Repository wird eine JSON-Datei (z.B. jsonactionsSecrets.json oder contents.json) platziert, die eine Zeile mit durch base64 kodierten Informationen \u00fcber das System, Umgebungsvariablen und erfasste Daten enth\u00e4lt. Um Informationen aus den Continuous Integration-Systemen auf GitHub nach au\u00dfen zu \u00fcbertragen, erstellt der Wurm einen GitHub Actions-Handler mit dem Namen «.github\/workflows\/formatter_123456789.yml» und konfiguriert einen Runner mit dem Namen SHA1HULUD. <\/p>\n
Die Unterschiede zu einem \u00e4hnlichen Angriff im September bestehen in einer anderen Methode zur Einf\u00fcgung von b\u00f6sartigem Code in das Paket. In den vom Wurm generierten b\u00f6sartigen Releases wird die Unterst\u00fctzung der JavaScript-Plattform Bun angek\u00fcndigt. In die Datei package.json wird im Abschnitt «preinstall», der die vor der Installation ausgef\u00fchrten Skripte definiert, der Befehl «node setup_bun.js» eingef\u00fcgt.
<\/center> <\/p>\n
In der Datei «setup_bun.js» befindet sich der Code zur Ausf\u00fchrung eines obfuszierten Skripts «bun_environment.js», das den Code des Wurms enth\u00e4lt. F\u00fcr seine weitere Verbreitung sucht der Wurm nach Paketcodes, \u00e4ndert die Datei package.json (erh\u00f6ht die Versionsnummer und f\u00fcgt den Aufruf von setup_bun.js hinzu), f\u00fcgt die Dateien setup_bun.js und bun_environment.js hinzu, repackt das Paket und f\u00fchrt den Befehl «npm publish» aus, um die neue Version zu ver\u00f6ffentlichen. <\/p>\n
Unter den kompromittierten beliebten Paketen befinden sich: @zapier\/zapier-sdk (2,8 Millionen Downloads pro Woche), @posthog\/core (2,8 Millionen), posthog-node (1,5 Millionen), @asyncapi\/specs (1,4 Millionen), @postman\/tunnel-agent (1,2 Millionen). Es wird vermutet, dass der Angriff mit der Kompromittierung des unterst\u00fctzenden Pakets @asyncapi\/specs begann. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Mit](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n