{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"In 42 NPM-Pakete wurde ein sich selbst verbreitender Wurm integriert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Durch die Kompromittierung des Release-Prozesses auf Basis von GitHub Actions im TanStack-Projekt gelang es Angreifern, 84 schadhafte Versionen im NPM-Repository zu ver\u00f6ffentlichen, die 42 NPM-Pakete des TanStack-Stacks umfassten. Einige der kompromittierten Pakete verzeichneten \u00fcber 10 Millionen Downloads pro Woche. <\/p>\n
Der Zugriff auf die Ver\u00f6ffentlichung der Releases wurde aufgrund einer fehlerhaften Konfiguration von pull_request_target \u201ePwn Request\u201c in GitHub Actions (das Festlegen einer Maske in den Einstellungen f\u00fchrte zur Ausf\u00fchrung von pull_request_target f\u00fcr Pull-Anfragen in externe Forks), der Cache-Vergiftung von GitHub Actions durch den Fork und der M\u00f6glichkeit, das OIDC-Token aus dem Speicher des laufenden Runner-Prozesses (Runner.Worker) durch das Lesen des Inhalts von \/proc\/\/mem zu extrahieren, erlangt. <\/p>\n
Am 11. Mai wurden zwischen 22:20 und 22:26 Uhr (MSK) NPM-Pakete mit sch\u00e4dlichen \u00c4nderungen ver\u00f6ffentlicht. Diese wurden 20 Minuten sp\u00e4ter entdeckt und eineinhalb Stunden sp\u00e4ter blockiert. F\u00fcr jedes der betroffenen NPM-Pakete wurden zwei sch\u00e4dliche Versionen ver\u00f6ffentlicht, die einen Code zur Aktivierung des mini-shai-hulud-Wurms enthielten. Dieser suchte nach Tokens und Anmeldeinformationen in der aktuellen Umgebung. Bei Entdeckung eines Tokens f\u00fcr das NPM-Verzeichnis ver\u00f6ffentlichte der Wurm automatisch neue sch\u00e4dliche Versionen f\u00fcr die in der aktuellen Umgebung entwickelten Pakete und griff damit den Abh\u00e4ngigkeitsbaum an. Auf diese Weise wurden \u00fcber 400 NPM-Pakete, die TanStack-Pakete als Abh\u00e4ngigkeiten verwendeten, infiziert. <\/p>\n
Der Wurm war in der Datei router_init.js untergebracht und wurde aktiviert, sobald das betroffene Paket manuell durch den Entwickler oder automatisiert in einer Continuous Integration-Umgebung mit den Befehlen \u201enpm install\u201c, \u201epnpm install\u201c oder \u201eyarn install\u201c installiert wurde. Nach der Aktivierung suchte der Wurm im System nach Tokens f\u00fcr NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp und KubernetesK8s sowie nach privaten SSH-Schl\u00fcsseln. Die gefundenen Daten wurden \u00fcber den dezentralen P2P-Messenger getsession.org an die Angreifer gesendet. <\/p>\n
Der Wurm war so konzipiert, dass er destruktive Aktionen im Falle des Widerrufs eines abgefangenen NPM-Tokens durchf\u00fchrte \u2013 im System wurde ein regelm\u00e4\u00dfiger Start des Skripts ~\/.local\/bin\/gh-token-monitor.sh eingerichtet, das alle 60 Sekunden die Aktivit\u00e4t des Tokens \u00fcber einen Aufruf von api.github.com\/user \u00fcberpr\u00fcfte und im Falle eines Widerrufs des Tokens den Befehl \u201erm -rf ~\/\u201c ausf\u00fchrte. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"