Die Sicherheitsfirma StepSecurity hat einen umfassenden Angriff dokumentiert, bei dem Cyberkriminelle gestohlene GitHub-Anmeldedaten missbrauchen, um Python-Repositories zu kompromittieren. Die Kampagne, die am 8. März 2026 begann, zielt systematisch auf Entwickler-Konten ab, um Malware in deren Repositories einzuschleusen.
Die ForceMemo-Methode: Raffiniert und schwer zu erkennen
Das Besondere an dieser Angriffskampagne ist die Technik namens ForceMemo. Im Gegensatz zu klassischen Malware-Injektionen, die leicht nachweisbar sind, arbeitet ForceMemo subtil: Die Angreifer laden zunächst die neuesten legitimen Commits herunter, fügen obfuskierten Code hinzu und verwenden dann Force-Push, um diese manipulierten Commits hochzuladen. Dabei bleiben Commit-Nachricht und Autor-Datum unverändert – nur das Committer-Datum wird modifiziert. Diese Vorgehensweise macht eine Kompromittierung deutlich schwerer nachweisbar.
Eine klare Indiz für Account-Übernahmen ist, dass alle Repositories eines gehackten Kontos betroffen werden: Jedes einzelne erhält Malware-Code.
Blockchain als Kommando-Kanal
Besonders bemerkenswert ist, wie die Malware mit dem Angreifer kommuniziert. Das Schadprogramm fragt die Solana-Blockchain ab und liest spezifische Transaktions-Memos aus, um Anweisungen zu erhalten. Basierend auf diesen Befehlen lädt es einen verschlüsselten JavaScript-Payload herunter, entschlüsselt und führt ihn aus. Die erste Transaktion auf dieser Blockchain-Adresse wurde am 27. November 2025 registriert – mehr als drei Monate vor der aktuellen Kampagne.
Die Blockchain-Adresse zeigt insgesamt 50 Transaktionen, und der Angreifer aktualisiert die Payload-URL regelmäßig, teilweise mehrmals täglich. Dies deutet darauf hin, dass der Akteur zuvor andere Infektionsvektoren testete, bevor er zu GitHub-Repositories pivot.
GlassWorm: Der ursprüngliche Vektor
Die Zugangsdaten stammen aus der GlassWorm-Kampagne, die im Oktober 2025 begann. Diese Malware nutzte Unicode-Variation-Selektoren, um ihren Code für das menschliche Auge unsichtbar zu machen. GlassWorm stahl NPM-, GitHub- und Git-Anmeldedaten sowie Kryptowährungs-Assets und konnte zudem SOCKS-Proxy-Server sowie versteckte VNC-Server installieren.
GlassWorm wurde zunächst über den OpenVSX-Marketplace verbreitet und über 35.000 Mal heruntergeladen. Seither gab es mehrere Wellen: im November 2025, im Januar 2026 und jetzt erneut im März 2026. Die aktuelle Kampagne hat sich auf GitHub, NPM und VS Code Marketplace ausgeweitet.
Umfang und geografische Hinweise
Das Malware-Stücke führt Systemchecks durch und überspringt Maschinen mit russischer Spracheinstellung – ein Hinweis auf eine osteuropäische Cyberkriminalgruppe. Laut Aikido Security wurden zwischen dem 3. und 9. März 2026 etwa 150 GitHub-Repositories in neuen GlassWorm-Angriffen kompromittiert.
Bei der neuesten Generation zeigen die Angreifer noch mehr Raffinesse: Sie veröffentlichen zunächst scheinbar harmlose VS Code-Extensions, nutzen Manifest-Felder, um automatisch andere Extensions zu installieren, und verwenden so saubere Extensions als Distributor für Malware. Über 70 solcher Extensions wurden identifiziert, die meisten wurden inzwischen aus dem OpenVSX-Registry entfernt.
Empfehlungen für Entwickler
Für deutschsprachige Entwickler ist es essentiell, GitHub-Konten mit starken, einzigartigen Passwörtern zu schützen und Two-Factor-Authentication zu aktivieren. Zudem sollten regelmäßig die Commit-Historie kritischer Repositories überprüft werden.