Shai-Hulud 2.0: Neue npm-Supply-Chain-Attacke legt 25.000+ Repos offen

Ein neuer Ableger der Shai-Hulud-Kampagne trifft aktuell das npm-Ökosystem. Angreifer haben teils stark verbreitete Pakete – unter anderem aus den Ökosystemen von Zapier, ENS Domains, PostHog und Postman – mit trojanisierten Versionen kompromittiert, so berichtet der Security Blog von WIZ. Diese werden zwischen dem 21. und 23. November 2025 auf npm eingestellt und führen beim Installieren im preinstall-Schritt Credential-Stealer-Code aus.

Das Malware-Skript sammelt Secrets aus Entwicklerrechnern und CI/CD-Umgebungen (u. a. GitHub-Tokens, Cloud-Credentials für AWS, GCP und Azure) und exfiltriert sie automatisiert in neu angelegte GitHub-Repositories mit Shai-Hulud-Bezug. Laut Wiz wurden bereits über 25.000 solcher Repos bei rund 500 Accounts beobachtet, mit Hunderten kompromittierten Zugängen – und die Kampagne wächst weiter im Takt von etwa 1.000 neuen Repos pro halber Stunde.

Zusätzlich richtet die Malware einen Backdoor-Workflow ein: Über eine speziell präparierte GitHub-Discussion können Angreifer später Code auf infizierten Self-Hosted-Runnern ausführen. Weitere Payloads zielen auf das Auslesen von Secret Managern, IAM-Rechteausweitung und sogar Docker-Container-Eskapen auf Host-Systeme.

Security-Teams sollten umgehend reagieren: betroffene npm-Pakete auf saubere Versionen oder Stände vor dem 21.11.2025 zurücksetzen, npm-Cache und node_modules leeren, alle relevanten Tokens und Cloud-Zugänge rotieren, GitHub-Org und CI/CD-Pipelines auf verdächtige Repositories, Workflows und Shai-Hulud-Beschreibungen prüfen sowie Lifecycle-Skripte und Netzwerkzugriffe in Build-Umgebungen einschränken.

Tags :

Related Posts

Bundestagspolizei warnt vor verdächtigen USB-Sticks an Abgeordnete

Mehrere Bundestagsabgeordnete haben in dieser Woche ungefragt USB-Sticks samt englischsprachigem Anschreiben per Post erhalten, so berichtet die Welt. Die Bundestagspolizei warnte daraufhin alle Fraktionen eindringlich davor, die Datenträger anzuschließen, und forderte dazu auf, sie in einem gesonderten Umschlag zurückzusenden.

Read More

Docker: runc-Schwachstellen ermöglichen Container-Escape

Drei neue Sicherheitslücken im Container-Runtime-Tool runc (CVE-2025-31133, CVE-2025-52565, CVE-2025-52881) ermöglichen unter bestimmten Bedingungen den Ausbruch aus Containern und potenziell Root-Zugriff auf das Host-System. Die von einem SUSE-Forscher entdeckten Schwachstellen betreffen Docker-, Kubernetes- und andere runc-basierte Plattformen.

Read More

Flowise: Kritische Passwort-Zurücksetzen-Lücke ermöglicht vollständige Kontoübernahme

In Flowise wurde eine kritische Schwachstelle (CVE-2025-58434) entdeckt, über die Angreifer ohne Authentifizierung gültige Passwort-Reset-Token für beliebige Nutzer erzeugen können. Ursache ist ein unsicherer forgot-password-Endpoint, der neben Nutzerinformationen auch direkt ein gültiges tempToken zurückliefert – ohne jegliche Verifikation.

Read More