Der Shai-Hulud-Wurm, benannt nach den Sandwürmern aus Frank Herberts Science-Fiction-Epos Dune, markiert eine Eskalation im Kampf um die Sicherheit der Open-Source-Infrastruktur. Seit seiner ersten Verbreitung im Sommer vergangenen Jahres hat der Wurm Entwicklerkonten kompromittiert und Tausende NPM-Pakete als Verbreitungsvektoren missbraucht.
Nachdem TeamPCP den Quellcode öffentlich machte, entstanden innerhalb kürzester Zeit mehrere funktionsfähige Klone. Der Sicherheitsanbieter Mondoo dokumentierte vier bösartige Pakete von einem einzigen Konto: eine nahezu identische Shai-Hulud-Kopie mit eigener Command-and-Control-Infrastruktur, drei Typosquatting-Varianten des populären Axios-Pakets und eine DDoS-Botnet-Payload. Besonders problematisch: Die Angreifer benötigen minimal Aufwand, um die Malware anzupassen. Ein unter dem Namen “chalk-tempalte” publiziertes Paket zeigt, dass einfaches Austauschen von C2-Endpoint und Signaturschlüssel ausreicht – ohne Obfuskation, ohne zusätzliche Verschleierung.
Sicherheitsexperte Patrick Münch von Mondoo warnt vor einer neuen Ära des Supply-Chain-Angriffs: “Dies ist ein Prototyp für automatisierte Attacken, die Entwickleridentitäten und das implizite Vertrauen in CI/CD-Pipelines als Waffen missbrauchen.” Adrian Culley von SafeBreach interpretiert die Veröffentlichung als Geschäftsmodell – TeamPCP positioniert sich als Access Broker und rekrutiert über das Bre achForums-Forum kostenlose Distributoren für seine Malware-Varianten.
Die Abwehr wird dadurch erheblich erschwert. Während Sicherheitsteams im Vorjahr einen Wurm nach dem anderen verfolgen konnten, müssen sie nun mit einer Population von Varianten rechnen – unterschiedliche C2-Infrastrukturen, verschiedene Signaturschlüssel, aber ausreichend genetische Ähnlichkeit, um gefährlich zu bleiben.
Experten empfehlen drei unmittelbare Maßnahmen im Package Manager: Lifecycle-Scripts standardmäßig blockieren, Veröffentlichungen verlangsamen und Trust-Downgrades erkennen. Darüber hinaus sollten Organisationen ihre CI/CD-Pipelines als Angriffsfläche behandeln, Abhängigkeiten mit Install-Time-Code-Ausführung prüfen und kompromittierte Anmeldedaten sofort rotieren.