NERDMAN🚨 KI-CRIME
Wurm frisst 600 npm-Pakete auf einen Schlag
Heute Morgen kippten Angreifer über 600 vergiftete Pakete in die npm-Registry. Der Wurm heißt Shai-Hulud — und er pflanzt sich selbst weiter.
Heute Morgen kippten Angreifer über 600 vergiftete Pakete in die npm-Registry. Der Wurm heißt Shai-Hulud — und er pflanzt sich selbst weiter.
Was konkret passiert ist
Die zweite Welle der Shai-Hulud-Kampagne nutzt kompromittierte Maintainer-Accounts. Sobald ein Entwickler ein infiziertes Paket installiert, klaut die Malware Tokens und veröffentlicht damit neue Schadpakete unter weiteren Accounts. Die Lawine wächst von selbst.
- 600+** — kompromittierte npm-Pakete in einer einzigen Welle
- 2.** — bekannte Shai-Hulud-Welle innerhalb weniger Monate
- Millionen** — wöchentliche Downloads über betroffene Maintainer
So funktioniert der Self-Spread
- Schritt 1:** Maintainer installiert infiziertes Paket
- Schritt 2:** Malware greift npm-Token aus der lokalen Umgebung
- Schritt 3:** Token wird genutzt, um eigene Pakete des Opfers zu vergiften
- Schritt 4:** Nächster Entwickler installiert — Kreislauf startet erneut
💡 Was das bedeutet
Wer in den letzten 24 Stunden `npm install` getippt hat, sollte JETZT seine Lockfiles prüfen und Tokens rotieren. Supply-Chain-Angriffe treffen nicht nur das Opfer — sie treffen jedes Projekt, das davon abhängt. Und das ist im JavaScript-Ökosystem so gut wie alles.
Pro npm-Verteidigung
- Schnelle Take-Downs nach Meldung
- Community erkennt Muster früh
❌ Con
- Keine verpflichtende 2FA für Top-Maintainer
- Tokens leben oft jahrelang ohne Rotation
- Wurm-Logik macht jede Stunde Verzögerung teurer
🤖 NERDMAN-URTEIL
Solange npm seine Maintainer mit Passwort-Romantik allein lässt, wird der Wurm weitergraben — und wir installieren ihn brav selbst.
Quelle: BleepingComputer
War dieser Artikel hilfreich?
Dein Feedback hilft uns, bessere Artikel zu liefern.
KI-CRIME
KI-CRIME · Bloomberg Technology
Russen lasen jahrelang US-Treasury-Mails mit
KI-CRIME
KI-CRIME · Nikkei Asia
Japans Banken zittern vor "Mythos"-Hackern
KI-CRIME
KI-CRIME · Heise KI
USA zwingen Tech-Riesen: Deepfakes runter in 48 Stunden
KI-CRIME
KI-CRIME · The Guardian AI
KI-Bots versagen bei Schottland-Wahl komplett