{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"In 42 NPM-Paketen ist ein sich selbst verbreitender Wurm integriert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Durch die Kompromittierung des Release-Prozesses bei GitHub Actions gelang es Angreifern, 84 b\u00f6sartige Versionen in das NPM-Repository zu ver\u00f6ffentlichen, die 42 NPM-Pakete aus dem TanStack-Stack betrafen. Einige der kompromittierten Pakete verzeichneten \u00fcber 10 Millionen Downloads pro Woche. <\/p>\n
Der Zugang zur Ver\u00f6ffentlichung von Releases wurde aufgrund einer fehlerhaften Konfiguration des pull_request_target «Pwn Request» in GitHub Actions erlangt (die Angabe einer Maske in den Einstellungen f\u00fchrte zur Ausf\u00fchrung von pull_request_target f\u00fcr Pull-Requests in externe Forks), zur Beeintr\u00e4chtigung des Caches von GitHub Actions durch Forks und zur M\u00f6glichkeit, das OIDC-Token aus dem Speicher des laufenden Runner-Prozesses (Runner.Worker) durch das Lesen des Inhalts von \/proc\/<pid>\/mem zu extrahieren. <\/p>\n
Die NPM-Pakete mit b\u00f6sartigen \u00c4nderungen wurden am 11. Mai zwischen 22:20 und 22:26 (MSK) ver\u00f6ffentlicht, nach 20 Minuten bemerkt und nach anderthalb Stunden blockiert. F\u00fcr jedes der betroffenen NPM-Pakete wurden zwei b\u00f6sartige Versionen mit integriertem Code zur Aktivierung des Wurms mini-shai-hulud ver\u00f6ffentlicht, der nach Tokens und Anmeldedaten im aktuellen Umfeld sucht. Bei der Entdeckung eines Verbindungstokens zum NPM-Verzeichnis ver\u00f6ffentlichte der Wurm automatisch neue b\u00f6sartige Releases f\u00fcr die im aktuellen Umfeld entwickelten Pakete und traf damit den Abh\u00e4ngigkeitsbaum. Dadurch wurden mehr als 400 NPM-Pakete, die TanStack-Pakete in ihren Abh\u00e4ngigkeiten verwendeten, kompromittiert. <\/p>\n
Der Wurm war in der Datei router_init.js untergebracht und wurde aktiviert, wenn das betroffene Paket manuell vom Entwickler oder automatisiert in einer Continuous-Integration-Umgebung mit den Befehlen «npm install», «pnpm install» oder «yarn install» installiert wurde. Nach der Aktivierung suchte der Wurm im System nach Tokens f\u00fcr NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp und Kubernetes K8s sowie nach privaten SSH-Schl\u00fcsseln. Die gefundenen Daten wurden \u00fcber den dezentralen P2P-Messenger getsession.org an die Angreifer gesendet. <\/p>\n
Im Wurm war vorgesehen, destruktive Ma\u00dfnahmen zu ergreifen, falls das abgefangene NPM-Token zur\u00fcckgezogen wurde \u2013 im System wurde ein regelm\u00e4\u00dfiges Skript ~\/.local\/bin\/gh-token-monitor.sh eingerichtet, das alle 60 Sekunden die Aktivit\u00e4t des Tokens durch einen Aufruf an api.github.com\/user pr\u00fcfte und im Falle des Widerrufs des Tokens den Befehl «rm -rf ~\/» ausf\u00fchrte. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"