Sandworm_Mode verbreitete sich über 19 bösartige npm-Pakete und nutzte normale Laufzeitverhalten von KI-Coding-Assistenten, CI-Automatisierung und LLM-Toolchains aus, die Unternehmen zunehmend in ihre Entwicklungs-Pipelines einbinden. Laut CrowdStrike ist der Fall ein Vorgeschmack auf eine neue Angriffsklasse, bei der Angreifer ähnlich wie bei „Living off the Land“-Techniken vertrauenswürdige Werkzeuge missbrauchen — hier jedoch nicht PowerShell oder certutil, sondern KI-Programmierassistenten und CI-Pipelines.
CrowdStrike-Sicherheitsforscher John Prieto schrieb, die Kampagne zwinge zu einer Neubewertung der Erwartungen an Endpunkterkennung in KI-gestützten Umgebungen. Ohne ein Verständnis dafür, wie normale MCP-Server-Bereitstellungen, Schreibvorgänge an Konfigurationen von KI-Assistenten und die Nutzung von LLM-API-Schlüsseln in einer konkreten Umgebung aussehen, fehle die Grundlage für anomiebasierte Erkennung. Diese Klasse von Telemetrie sei neu, und branchenweit würden entsprechende Basislinien erst noch aufgebaut.
Der Wurm ist darauf ausgelegt, Zugangsdaten für npm, GitHub, Cloud-Dienste, Kryptowährungen und LLM-Anbieter zu stehlen und über drei Kanäle abzuleiten, darunter DNS-Tunneling. Er verbreitet sich weiter, indem er Pakete und Repositories infiziert, und verankert sich über Git-Hooks dauerhaft. Zudem kompromittiert Sandworm_Mode laut CrowdStrike KI-Assistenten wie Cursor und Claude Code über einen manipulierten MCP-Server, der mit Prompt-Injection arbeitet, um die Werkzeuge unbemerkt Zugangsdaten auslesen und an die Angreifer weitergeben zu lassen.
Auffällig ist auch die verzögerte Aktivierung: Zwischen der Installation eines bösartigen Pakets und dem Start der vollständigen Schadfunktion liegen bei Sandworm_Mode 48 bis 96 Stunden. Nach Einschätzung von CrowdStrike kann diese Lücke dazu führen, dass Erkennungswerkzeuge, die Installations- und Verhaltenssignale miteinander korrelieren, beide Ereignisse nie miteinander in Verbindung bringen.
Ein Teil der Aktivitäten erzeugte dennoch verwertbare Signale. CrowdStrike nennt dazu bösartige Paketaktivitäten, bestimmte Persistenzmechanismen sowie einzelne Formen des Diebstahls von Zugangsdaten oder Daten. Mehrere andere Verhaltensweisen erwiesen sich jedoch als praktisch nicht von legitimer Entwickler- und Automatisierungsaktivität zu unterscheiden. Sandworm_Mode führte Befehle aus, griff auf Dateien zu, änderte Konfigurationen, interagierte mit Repositories und rief Programmierschnittstellen so auf, dass das Verhalten dem regulärer KI-Assistenten, CI/CD-Systeme und anderer Entwicklungswerkzeuge stark ähnelte.
Adam Meyers, Leiter der Abwehr gegnerischer Operationen bei CrowdStrike, sagte gegenüber Dark Reading, mit der Standardisierung von KI-Coding-Agenten in der Softwareentwicklung lernten Angreifer, von der KI-Toolchain zu leben, indem sie genau die vertrauenswürdigen Arbeitsabläufe ausnutzen, die Entwickler täglich verwenden. Er verglich Sandworm_Mode mit der Entdeckung eines neuen Krankheitserregers: sichtbar werde damit ein neuer Angriffsvektor und eine Schwäche im KI-Entwicklungsökosystem, die die Sicherheitsgemeinschaft verstehen und gemeinsam angehen müsse.
CrowdStrike beschreibt Sandworm_Mode eher als Machbarkeitsnachweis für eine aufkommende Angriffsklasse, auf die sich Organisationen einstellen müssen. Meyers betonte, Sicherheit müsse auf den gesamten KI-Entwicklungslebenszyklus ausgedehnt werden. Dazu gehörten der Schutz von Entwickleridentitäten und Zugangsdaten, mehr Sichtbarkeit in Paket-Repositories und CI/CD-Pipelines sowie gegebenenfalls die Isolierung von KI-Entwicklungsumgebungen. Die eigentliche Schwierigkeit bestehe darin, dass diese Angriffe absichtlich in normaler Entwicklungsaktivität aufgehen: Sie veröffentlichen Pakete, erzeugen Commits und öffnen Pull Requests, sodass Verteidiger Verhaltenssichtbarkeit brauchen, die legitime von gegnerischer Automatisierung trennen kann.