{"id":182783,"date":"2026-08-10T19:40:40","date_gmt":"2026-08-10T17:40:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov"},"modified":"2026-08-12T20:28:40","modified_gmt":"2026-08-12T18:28:40","slug":"novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","title":{"rendered":"Der neue Wurm ChainDrop hat \u00fcber 400 NPM-Pakete infiziert","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Festgestellt<\/a> Es wurde ein massiver Angriff auf Pakete im NPM-Repository festgestellt, durchgef\u00fchrt mit einem neuen selbstverbreitenden Wurm namens ChainDrop, der Malware in Abh\u00e4ngigkeiten einschleust. Infolge des Angriffs wurden 2212 b\u00f6sartige Releases f\u00fcr 444 Pakete ver\u00f6ffentlicht. Die beliebtesten der kompromittierten Pakete, keyv, flat-cache und file-entry-cache, haben 154, 149,9 und 147,6 Millionen Downloads pro Woche.<\/p>\n

 <\/p>\n

Der Wurm-Lader war in den Dateien setup.mjs und Math_Symbol.js platziert, die \u00fcber einen Preinstall-Handler (\"preinstall\": \"node setup.mjs\") ausgef\u00fchrt wurden, der bei der Installation des betroffenen Pakets aufgerufen wurde. Die genannten Skripte luden eine legale Bun-Laufzeit und obfuskierter Wurmcodes, der 710 KB gro\u00df war. Nach der Aktivierung suchte der Wurm im System und in den Umgebungsvariablen nach Tokens f\u00fcr NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s und anderen Diensten (insgesamt wurden \u00fcber 140 Dateipfade analysiert, wie ~\/.npmrc) und untersuchte auch den Speicher (\u00fcber \/proc\/\/mem) der GitHub Actions-Umgebung auf Tokens und Anmeldedaten.<\/p>\n

 <\/p>\n

Wenn ein Token zum Zugang zum NPM-Verzeichnis gefunden wurde, ver\u00f6ffentlichte der Wurm automatisch neue b\u00f6sartige Releases f\u00fcr die im aktuellen Umfeld entwickelten Pakete und befiel den Abh\u00e4ngigkeitsbaum. Im Gegensatz zu dem zuvor entdeckten Wurm Shai-Hulud 2.0<\/a> setzte ChainDrop die Technik EtherHiding ein, um Steuerbefehle \u00fcber die \u00f6ffentliche Ethereum-Blockchain zu erhalten, es wurden Verschl\u00fcsselungstechniken verwendet, um die an den Server gesendeten sensiblen Daten der Angreifer zu verbergen, und es wurde ein Injektionsversuch in die Konfigurationsdateien von Claude Code, VS Code und GitHub Copilot unternommen, um die Pr\u00e4senz im System zu sichern.<\/p>\n

 <\/p>\n

Der Angriff begann mit der Kompromittierung des Release-Erstellungsprozesses auf Basis von GitHub Actions f\u00fcr das Paket keyv<\/a>, das 154 Millionen Downloads pro Woche hat und als Abh\u00e4ngigkeit in 1703 Paketen verwendet wird. Die Angreifer erstellten eine neue Version 6.0.0, f\u00fcgten b\u00f6sartigen Code ein und ver\u00f6ffentlichten sie mit dem Mechanismus \u201eTrusted Publishers<\/a>und korrekter SLSA-Zertifizierung<\/a>. Nach der Ver\u00f6ffentlichung infizierte der Wurm viele von keyv abh\u00e4ngige Pakete und infizierte dann indirekte Abh\u00e4ngigkeiten in der Kette.<\/p>\n

 <\/p>\n

Zu den beliebtesten Paketen, die vom Wurm betroffen waren und f\u00fcr die b\u00f6sartige Releases ver\u00f6ffentlicht wurden, geh\u00f6ren:<\/p>\n