Die Sicherheitsforscher von Sysdig haben eine koordinierte Angriffswelle dokumentiert, die die Schwachstelle CVE-2026-39987 in Marimo aktiv ausnutzt. Das besondere Risiko liegt in der Kombination aus kritischer RCE-Lücke und dem geschickten Missbrauch legitimer Infrastruktur.
Die Angriffsstruktur folgt dabei einem raffinierten Schema: Nachdem Hacker die Marimo-Schwachstelle ausgenutzt haben, laden sie sich über Curl-Befehle ein Skript namens “install-linux.sh” von einer auf Hugging Face gehosteten “Space” namens “vsccode-modetx” herunter. Der Name ist bewusst gewählt – ein Typosquatting von Visual Studio Code, um Nutzer zu täuschen. Das Skript installiert anschließend ein Malware-Binary mit dem Namen “kagent”, das sich als legitimer Kubernetes-AI-Agent ausgeben soll.
Die Nutzlast ist eine bislang undokumentierte Variante von NKAbuse, einem DDoS-orientierten Schadprogramm, das Kaspersky-Forscher im Dezember 2023 erstmals dokumentierten. Die neue Variante funktioniert als Remote-Access-Trojaner mit der Fähigkeit, Shell-Befehle auszuführen und deren Ausgabe an den Operator zurückzusenden. Das Malware-Binary nutzt dazu NKN-Client-Protokolle sowie WebRTC/ICE/STUN-Standards für NAT-Traversal und Proxy-Management.
Besonders alarmierend sind die dokumentierten Angriffsmuster: Ein Deutschland-basierter Angreifer versuchte 15 verschiedene Reverse-Shell-Techniken über mehrere Ports und pivotierte anschließend zur lateralen Bewegung durch Extraktion von Datenbank-Credentials aus Umgebungsvariablen. Ein weiterer Akteur aus Hongkong nutzte gestohlene “.env”-Credentials, um systematisch alle 16 Redis-Datenbanken zu scannen und Daten wie Session-Token und Application-Cache-Einträge zu exfiltrieren.
Hugging Face Spaces, die Plattform, auf der die Malware gehostet wurde, ist eigentlich ein Ort für KI-Entwickler, um interaktive Web-Apps zu teilen. Der Missbrauch dieser Plattform durch Angreifer verdeutlicht ein zunehmendes Problem: Legitime, vertrauenswürdige Infrastrukturen werden als Auslieferungskanal für Malware missbraucht.
Sysdig empfiehlt, sofort auf Marimo Version 0.23.0 oder später zu aktualisieren. Für Systeme, bei denen ein sofortiges Update nicht möglich ist, sollte mindestens der Zugriff auf den ‘/terminal/ws’-Endpoint durch Firewalls blockiert werden. Die Häufigkeit und Vielfalt der beobachteten Angriffe lässt vermuten, dass weitere Exploitations folgen werden.