Die Angreifer haben es gezielt auf das SAP-Ökosystem abgesehen. Vier Paketversionen wurden mit bösartigen Code infiziert: npm mbt 1.2.48, npm @cap-js/db-service 2.10.1, npm @cap-js/postgres 2.2.2 und npm @cap-js/sqlite 2.2.2. Diese Werkzeuge sind für SAP-Entwickler essentiell — mbt ist das Cloud MTA Build Tool, die anderen unterstützen Datenbankoperationen im CAP-Framework.
Die technische Funktionsweise der Angriffskampagne ist raffiniert: Die Angreifer integrierten ein Preinstall-Script in die kompromittierten Pakete. Dieses Script arbeitet als Runtime-Bootstrapper und lädt automatisch eine manipulierte Bun-Binärdatei herunter — ein moderner JavaScript-Runtime, der auch in Containerumgebungen läuft. Sobald das Script ausgeführt wird, entpuppt sich der Download als Malware, die gezielt Anmeldeinformationen stiehlt.
Die Schadensreichweite ist erheblich. Das Malware-Modul zielt auf lokal gespeicherte Anmeldedaten, GitHub- und NPM-Token sowie Cloud-Secrets von AWS, Azure, Google Cloud Platform und Kubernetes ab. Diese Zugangsdaten werden über öffentliche GitHub-Repositories exfiltriert, die mit der Beschreibung „A Mini Shai-Hulud has Appeared” markiert sind. Besonders bemerkenswert ist ein eingebauter Propagationsmechanismus: Die Malware sucht nach GitHub Actions Release Workflows, modifiziert Paket-Tarballs und veröffentlicht infizierte Versionen mithilfe gestohlener GitHub Actions-Tokens.
Sicherheitsexperten von Aikido haben nachvollzogen, wie Angreifer das SAP-NPM-Ökosystem kompromittierten: Über ein verfallenes oder gestohlenes NPM-Token, das durch CircleCI-Pull-Request-Builds exponiert war. Dies unterstreicht ein bekanntes Sicherheitsproblem in modernen CI/CD-Pipelines: Die Verwaltung von Zugangstokens ist fehleranfällig und wird häufig unterschätzt.
Die Sicherheitsfirma Wiz attribuiert den Anschlag der Hackergruppe TeamPCP, einer notorischen Akteur im Supply-Chain-Angriffs-Geschäft. Grundlage der Zuordnung ist ein geteilter RSA-Schlüssel zur Verschlüsselung exfiltrierter Geheimnisse — eine Praktik, die die Datenzugriffe auf TeamPCP beschränkt.
Für betroffene Organisationen gelten strikte Handlungsempfehlungen: Alle Unternehmen, die SAP CAP, Business Technology Platform oder MTA-basierte Deployments nutzen, sollten sofort ihre Build-Logs prüfen. Wurden die Pakete zwischen dem 29. April installiert, muss eine forensische Analyse durchgeführt werden. Cloud-Credentials sollten als kompromittiert behandelt und sofort gewechselt werden. Das BSI wird voraussichtlich eine spezielle Warnung veröffentlichen — betroffene deutsche Unternehmen sollten diese beobachten.