MalwareHackerangriffeSchwachstellen

Megalodon-Angriff: 5.500 GitHub-Repositories mit Malware infiziert

Von CyberDeutsch Redaktion
Megalodon-Angriff: 5.500 GitHub-Repositories mit Malware infiziert
Zusammenfassung

# Megalodon-Anschlag: Über 5.500 GitHub-Repositories durch Supply-Chain-Attacke infiziert Ein massiver Cyberangriff mit dem Namen "Megalodon" hat mehr als 5.500 GitHub-Repositories mit Malware infiltriert. Die Attacke erfolgte am 18. Mai 2026 durch automatisierte Commits, die manipulierte GitHub Actions-Workflows mit Schadcode einschleusten. Die Angreifer injizieren dabei zwei verschiedene Payloads: eine, die neue Workflows bei jedem Push und Pull Request auslöst, und eine zweite, die existierende Workflows ersetzt und verdeckte Hintertüren schafft. Das Ziel war es, sensible Daten wie Zugangsdaten, CI-Geheimnisse, AWS-Credentials, GitHub-Tokens und API-Schlüssel zu exfiltrieren. Die Entdeckung erfolgte, als infizierte Versionen des Open-Source-Chatbot-Pakets Tiledesk auf NPM identifiziert wurden. Für deutsche Entwickler, Unternehmen und Behörden ist dies besonders brisant, da viele auf GitHub gehostete Projekte und NPM-Pakete nutzen. Die Gefahr liegt darin, dass Entwicklungsumgebungen kompromittiert werden könnten und vertrauliche Unternehmensgeheimnisse sowie Zugangsdaten gestohlen werden. Besonders kritisch ist die Erkenntnis, dass die Angreifer keine Account-Übernahmen benötigten, sondern direkt die Repositories manipulierten – ein neues Angriffsmusters, vor dem sich deutsche IT-Sicherheitsexperten in Zukunft verstärkt schützen müssen.

Die Megalodon-Kampagne funktioniert über eine raffinierten Mechanismus: Angreifer injizierten GitHub Actions Workflows, die bei jedem Push oder Pull Request ausgelöst werden. Parallel erstellten sie dormante Backdoors durch modifizierte Workflows mit speziellen Triggern, die zu einem späteren Zeitpunkt aktiviert werden können. Auf den befallenen Maschinen würde die Malware eine beeindruckende Palette an sensiblen Informationen abgreifen: alle CI-Umgebungsvariablen, AWS-Anmeldedaten, GCP-Zugangstoken, Azure-Credentials, SSH-Privatschlüssel, Docker- und Kubernetes-Konfigurationen, API-Keys, Datenbankverbindungszeichenketten sowie GitHub Actions und GitLab CI/CD-Token.

Besonders bemerkenswert ist die Verbindung zu kompromittierten NPM-Paketen. Das Open-Source-Projekt Tiledesk – eine Live-Chat- und Chatbot-Plattform – wurde zum Verbreitungsvektor. Der Maintainer veröffentlichte zwischen dem 19. und 21. Mai vergiftete Paketversionen, ohne zu bemerken, dass sein GitHub-Repository bereits infiziert war. Ein NPM-Account namens „eljohnny” war beteiligt, aber die Angreifer hatten nicht direkt diesen Account gehackt – sie kompromittierten das GitHub-Repository und veranlassten den Maintainer, aus dem infizierten Source Code zu veröffentlichen.

Die operative Ausführung war hochprofessionell orchestriert: 5.718 Commits wurden am 18. Mai 2026 zwischen 11:36 und 17:48 UTC über zwei E-Mail-Adressen mit dem Absender „build-bot” eingespielt. SafeDep entdeckte insgesamt 2.878 Commits unter einer Adresse und 2.841 unter einer zweiten – insgesamt 5.561 unterschiedliche Repositorys betroffen.

Ein weiterer kritischer Aspekt: Die Angreifer wählten bewusst die GitHub Actions Workflow-Dispatch-Methode, die von Githubs Anti-Rekursions-Regeln ausgenommen ist. Dies ermöglicht es ihnen, die Backdoors später über die GitHub API mit gestohlenen GitHub-Tokens zu aktivieren – eine Zeitbombe in tausenden Repositories.

NPM reagierte mit der Invalidierung aller granularen Zugangstoken mit Schreibzugriff, die Zwei-Faktor-Authentifizierung umgehen. Doch Sicherheitsexperten warnen: Das behebt nur ein Symptom. Ox Security betont, dass Plattformen ohne strenge Code-Vetierung das Problem nicht lösen werden. “Wir befinden uns in einer neuen Ära von Supply-Chain-Attacken,” warnt das Unternehmen. Entwickler und Unternehmen müssen dringend ihre Abhängigkeiten überprüfen und verdächtige Commits aus ihren Repositories entfernen.

Ähnliche Artikel