Der Shai-Hulud-Wurm avanciert zur Blaupause für kriminelle Nachahmer. Nachdem TeamPCP und Akteure auf BreachForums den Quellcode des Schädlings öffentlich machten und explizit zu dessen Verwendung in neuen Supply-Chain-Angriffen aufforderten, zeigen sich die Auswirkungen sofort. Ox Security dokumentiert bereits mindestens vier neue NPM-Pakete mit infostealer-Malware, darunter ein direkter Klon des ursprünglichen Wurms.
Die gefährlichste Variante trägt den getäuschenden Namen „chalk-tempalte” – ein Play auf das populäre Formatierungs-Paket „chalk”. Sie ist unverschlüsselt, enthält den quasi-identischen Shai-Hulud-Code und nutzt einen eigenen Command-and-Control-Server sowie einen privaten Schlüssel. Das Muster ist unverkennbar: Gestohlene Zugangsdaten werden in ein neues GitHub-Repository hochgeladen, genau wie in früheren Shai-Hulud-Kampagnen.
Die anderen drei Pakete nutzen Typosquatting-Techniken, um Nutzer des beliebten HTTP-Clients Axios zu infizieren. Eine davon integriert kompromittierte Maschinen sogar in ein DDoS-Botnetz ein. Zusammen haben diese vier Pakete über 2.600 wöchentliche Downloads generiert – ein alarmierendes Volumen.
Experten warnen vor einer koordinierten Eskalation: Ein einzelner Akteur deployedmultiple Malware-Techniken und verschiedene Infostealer-Typen gleichzeitig. Dies deute auf die erste Phase einer massiven Welle weiterer Supply-Chain-Angriffe hin. Das ist besonders besorgniserregend, weil die Infrastruktur now vollständig democratisiert wurde.
Für die deutsche Digitalwirtschaft ergibt sich daraus ein doppeltes Dilemma. Erstens müssen Entwickler und DevOps-Teams in Deutschland ihre Paket-Abhängigkeiten deutlich strenger prüfen und eine Software Bill of Materials (SBOM) führen – das BSI empfiehlt dies zudem im Kontext seiner Cybersicherheitsstrategie. Zweitens: Falls Credentials von deutschen Unternehmen gestohlen werden, greift die DSGVO-Meldepflicht (Artikel 33). Verzögerungen oder Verschleierung können zu Bußgeldern bis zu vier Prozent des Jahresumsatzes führen.
Der Incident zeigt, warum der Quellcode-Schutz in der Open-Source-Community kritisch ist und warum automatisierte Scanning-Tools sowie strenge Code-Review-Prozesse längst Standard sein sollten. Unternehmen sollten zudem ihre Supplier und Abhängigkeiten kontinuierlich monitoren.