Die Sicherheitsforscherin Kirill Boychenko von Socket hat eine koordinierte Kampagne dokumentiert, die gezielt zwei Ökosysteme – Ruby und Go – nutzt, um in Entwicklungs- und Build-Umgebungen einzudringen. Die Angreifer setzen dabei eine bewährte Taktik ein: Schlafende Pakete, die erst später mit bösartigen Inhalten aktiviert werden.
Wie die Ruby Gems angreifen
Die manipulierten Ruby Gems werden bei der Installation aktiv und sammeln sofort sensible Daten. Sie extrahieren Umgebungsvariablen, private SSH-Schlüssel, AWS-Secrets, NPM-Konfigurationen und GitHub CLI-Token. Die Beute wird an eine externe Webhook.site-Adresse übertragen, die von den Angreifern kontrolliert wird. Dies ist besonders gefährlich, da Entwickler oft nicht bemerken, dass ihre Anmeldedaten exfiltriert werden.
Die Go-Module sind noch gefährlicher
Die Go-Module gehen einen Schritt weiter: Sie manipulieren GitHub Actions-Workflows, indem sie sich in die PATH-Variable einschleusen und als Proxy für den legitimen Go-Binary fungieren. Der Angriff ist raffiniert: Das manipulierte Modul erkennt die GitHub-Umgebungsvariablen, setzt Proxy-Einstellungen und platziert einen gefälschten Go-Wrapper im Cache-Verzeichnis. So können späteren Go-Ausführungen überwacht oder beeinflusst werden, während der echte Binary weiterhin normal läuft – der Angriff bleibt dadurch unsichtbar.
Besonders beängstigend: Die Module fügen auch einen SSH-Public-Key in „~/.ssh/authorized_keys” ein, was Angreifern persistenten Remote-Access zur Maschine ermöglicht. Dies ist klassische Backdoor-Platzierung in kritischen Infrastrukturen.
Maßnahmen für Entwickler und Teams
Betroffene Nutzer müssen sofort handeln: Alle verdächtigen Pakete entfernen, Zugangsdaten rotieren und SSH-Konfigurationen überprüfen. Auch Netzwerk-Logs sollten auf verdächtige HTTPS-Verbindungen durchsucht werden. Für deutsche Unternehmen gilt: Falls kundenbezogene Daten betroffen sind, besteht eine Meldepflicht gegenüber dem Bundesdatenschutzbeauftragten (BfDI) innerhalb von 72 Stunden.
Empfehlung des BSI
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, Supply-Chain-Risiken durch Dependency-Scanning, Code-Review von Abhängigkeiten und strenge Package-Governance zu minimieren. Diese Attacke zeigt: Vertrauen in Open-Source-Pakete muss verdient sein.