{"id":182783,"date":"2026-08-10T19:40:40","date_gmt":"2026-08-10T17:40:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov"},"modified":"2026-08-10T19:40:40","modified_gmt":"2026-08-10T17:40:40","slug":"novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","title":{"rendered":"Der neue Wurm ChainDrop hat \u00fcber 400 NPM-Pakete befallen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

<\/i><\/a>
1 <\/p>\n

Festgestellt<\/a> Es wurde ein massiver Angriff auf Pakete im NPM-Repository festgestellt, der mit einem neuen selbstverbreitenden Wurm namens ChainDrop durchgef\u00fchrt wurde, der Schadsoftware in Abh\u00e4ngigkeiten einf\u00fcgt. Infolge des Angriffs wurden 2212 schadhafter Ver\u00f6ffentlichungen f\u00fcr 444 Pakete ver\u00f6ffentlicht. Die beliebtesten der kompromittierten Pakete keyv, flat-cache und file-entry-cache verzeichnen 154, 149.9 und 147.6 Millionen Downloads pro Woche.<\/p>\n

<\/noindex> <\/p>\n

Der Wurm-Loader befand sich in den Dateien setup.mjs und Math_Symbol.js, die mithilfe eines preinstall-Handlers ausgef\u00fchrt wurden (\"preinstall\": \"node setup.mjs\"), der bei der Installation des betroffenen Pakets aufgerufen wurde. Die genannten Skripte luden die legitime Bun-Laufzeitumgebung und obfuskierten Code des Wurms mit einer Gr\u00f6\u00dfe von 710 KB. Nach der Aktivierung suchte der Wurm im System und in den Umgebungsvariablen nach Tokens f\u00fcr NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s und andere Dienste (insgesamt wurden mehr als 140 Dateipfade analysiert, wie ~\\\/.npmrc), und analysierte au\u00dferdem den Speicher des GitHub Actions-Umfelds auf Tokens und Anmeldeinformationen.<\/p>\n

<\/p>\n

Im Falle der Entdeckung eines Tokens f\u00fcr die Verbindung zum NPM-Katalog ver\u00f6ffentlichte der Wurm automatisch neue schadhafte Ver\u00f6ffentlichungen f\u00fcr die in der aktuellen Umgebung entwickelten Pakete und beeintr\u00e4chtigte den Abh\u00e4ngigkeitsbaum. Im Gegensatz zum zuvor entdeckten Wurm Shai-Hulud 2.0<\/a> wurde in ChainDrop die Technik EtherHiding implementiert, um Steuerbefehle \u00fcber die \u00f6ffentliche Ethereum-Blockchain zu erhalten; es wurde eine Verschl\u00fcsselung verwendet, um die vertraulichen Daten der Angreifer, die an den Server \u00fcbertragen wurden, zu verbergen, und eine Integration in die Konfigurationsdateien von Claude Code, VS Code und GitHub Copilot vorgenommen, um das Vorhandensein im System zu sichern.<\/p>\n

<\/noindex> <\/p>\n

Der Angriff begann mit der Kompromittierung des Release-Prozesses auf Basis von GitHub Actions f\u00fcr das Paket keyv<\/a>, das w\u00f6chentlich 154 Millionen Downloads z\u00e4hlt und als Abh\u00e4ngigkeit in 1703 Paketen verwendet wird. Die Angreifer haben eine neue Version 6.0.0 erstellt, in der sie sch\u00e4dlichen Code eingef\u00fcgt und sie mit dem Mechanismus \"Trusted Publishers<\/a>\" ver\u00f6ffentlicht. SLSA-Zertifikat.<\/a>Nach der Ver\u00f6ffentlichung infizierte der Wurm viele von keyv abh\u00e4ngige Pakete und infizierte durch die Kette indirekte Abh\u00e4ngigkeiten.<\/p>\n

<\/noindex> <\/p>\n

Zu den beliebtesten Paketen, die vom Wurm betroffen waren, der schadhafte Ver\u00f6ffentlichungen f\u00fcr sie publiziert hat, geh\u00f6ren:<\/p>\n