Shai-Hulud 2.0: Neue npm-Supply-Chain-Attacke legt 25.000+ Repos offen

Ein neuer Ableger der Shai-Hulud-Kampagne trifft aktuell das npm-Ökosystem. Angreifer haben teils stark verbreitete Pakete – unter anderem aus den Ökosystemen von Zapier, ENS Domains, PostHog und Postman – mit trojanisierten Versionen kompromittiert, so berichtet der Security Blog von WIZ. Diese werden zwischen dem 21. und 23. November 2025 auf npm eingestellt und führen beim Installieren im preinstall-Schritt Credential-Stealer-Code aus.

Das Malware-Skript sammelt Secrets aus Entwicklerrechnern und CI/CD-Umgebungen (u. a. GitHub-Tokens, Cloud-Credentials für AWS, GCP und Azure) und exfiltriert sie automatisiert in neu angelegte GitHub-Repositories mit Shai-Hulud-Bezug. Laut Wiz wurden bereits über 25.000 solcher Repos bei rund 500 Accounts beobachtet, mit Hunderten kompromittierten Zugängen – und die Kampagne wächst weiter im Takt von etwa 1.000 neuen Repos pro halber Stunde.

Zusätzlich richtet die Malware einen Backdoor-Workflow ein: Über eine speziell präparierte GitHub-Discussion können Angreifer später Code auf infizierten Self-Hosted-Runnern ausführen. Weitere Payloads zielen auf das Auslesen von Secret Managern, IAM-Rechteausweitung und sogar Docker-Container-Eskapen auf Host-Systeme.

Security-Teams sollten umgehend reagieren: betroffene npm-Pakete auf saubere Versionen oder Stände vor dem 21.11.2025 zurücksetzen, npm-Cache und node_modules leeren, alle relevanten Tokens und Cloud-Zugänge rotieren, GitHub-Org und CI/CD-Pipelines auf verdächtige Repositories, Workflows und Shai-Hulud-Beschreibungen prüfen sowie Lifecycle-Skripte und Netzwerkzugriffe in Build-Umgebungen einschränken.

Tags :

Related Posts

Bundestagspolizei warnt vor verdächtigen USB-Sticks an Abgeordnete

Mehrere Bundestagsabgeordnete haben in dieser Woche ungefragt USB-Sticks samt englischsprachigem Anschreiben per Post erhalten, so berichtet die Welt. Die Bundestagspolizei warnte daraufhin alle Fraktionen eindringlich davor, die Datenträger anzuschließen, und forderte dazu auf, sie in einem gesonderten Umschlag zurückzusenden.

Read More

WatchGuard Firebox mit Standard-Adminzugang ĂĽber SSH erreichbar

Eine gravierende Fehlkonfiguration betrifft WatchGuard Firebox-Geräte bis zur am 10. September 2025 veröffentlichten Version. Laut NVD-Eintrag CVE-2025-59396 erlauben die Geräte im Auslieferungszustand administrativen SSH-Zugriff auf Port 4118 – mit dem Standardpasswort des „admin“-Kontos.

Read More

UNC6384 missbraucht Windows .LNK Dateien gegen Europäische Diplomaten

Arctic Wolf Labs beobachtet seit September/Oktober 2025 eine Spionagekampagne des China-nahen Akteurs UNC6384 gegen diplomatische Einrichtungen in Ungarn, Belgien sowie weiteren EU-Ländern. Die Angreifer nutzen Spear-Phishing mit LNK-Dateien zu EU-/NATO-Terminen und weaponizen die im März 2025 offengelegte Windows-Verknüpfungs-Schwachstelle ZDI-CAN-25373. Über obfuskierte PowerShell-Ketten wird PlugX per DLL-Side-Loading in signierte Canon-Hilfsprogramme eingeschleust; Persistenz erfolgt u. a. via Run-Key. Identifizierte C2-Infrastruktur umfasst racineupci[.]org, dorareco[.]net und naturadeco[.]net.

Read More