Die Veröffentlichung des Shai-Hulud-Quellcodes markiert einen Wendepunkt in der Bedrohungslandschaft. TeamPCP sendet damit ein klares Signal: Supply-Chain-Angriffe sollen Routine werden. Die Malware ist konzeptionell hochentwickelt und modulär aufgebaut – mit Loadern, Modul-Komponenten zur Credential-Harvesting, Information Collectorim, Dispatchern, Datenexfiltratoren und Mutatoren. Besonders problematisch ist das Anti-Signatur-Mechanismus des Wurms. Sicherheitsforscher von Datadog entdeckten, dass jeder Build automatisch eine neue, zufällig generierte Passphrase enthält, die die String-Kodierung verschlüsselt. Dies bedeutet: Identische Quellcodes produzieren unterschiedliche Binärdateien. Verteidiger können keine stabilen YARA-Regeln schreiben, die alle Varianten erkennen.
Das Arsenal des Wurms ist umfassend. Er zielt auf Entwickler-Credentials, Cloud-Zugangsdaten, API-Keys und Tokens ab – genau das, was eine starke Supply-Chain-Attacke braucht. Exfiltrationen erfolgen über GitHub-Repositories und einen Command-and-Control-Server. Die Dead-Man-Switch- und Persistierungsmechanismen sind bereits bewährt.
Der entscheidende Punkt: Threat Actors haben bereits damit begonnen, den Code zu modifizieren. Ox Security dokumentierte erste Varianten in freien Angriffen. Die niedrige Eintrittsbarriere – detaillierte Deployment-Anleitungen inklusive – beschleunigt diese Mutation exponentiell. Ben Ronallo von Black Duck warnt deutlich: “TeamPCP dreht die Intensität auf Stufe 11 auf.”
Für deutsche Organisationen ergibt sich eine dringende Handlung. Unternehmen sollten sofort: Entwickler- und CI/CD-Systeme isolieren und neu aufbauen, alle freiliegenden Credentials rotieren, OIDC-Publishing streng auf bestimmte Workflows und geschützte Branches beschränken, GitHub Actions pinnen und überprüfen, und Build-Pipelines wie Produktionssysteme schützen. Das ist nicht optional – es ist notwendig geworden.