Shai Hulud ist zurück: Wurm kompromittiert erneut Hunderte NPM-Pakete

Wer mit NPM -Paketen arbeitet, sollte dringend die Abhängigkeiten seiner Projekte überprüfen. Ein Wurm hat teils namhafte Pakete kompromittiert.

25. November 2025 um 09:00 Uhr / Marc Stöckel

In zahlreiche Javascript-Projekte wurde Schadcode eingeschleust. Bild: pixabay.com / markusspiske

Schon im September bedrohte ein Shai Hulud genannter Wurm das NPM-Ökosystem . Jetzt warnen Sicherheitsforscher von Socket in einem Blogbeitrag vor einer neuen Variante dieser Bedrohung. Mehr als 700 Versionen von über 500 verschiedenen NPM-Paketen sollen bereits kompromittiert worden sein, darunter solche namhafter Tools wie Zapier, ENS Domains, Posthog und Postman.

Betroffenen Paketen wird jeweils ein Preinstall-Skript namens setup_bun.js hinzugefügt, das auf Anwendersystemen automatisch die Javascript-Runtime Bun nachlädt (sofern nicht schon vorhanden) und darüber Schadcode ausführt.

Letzterer sammelt Systeminformationen und greift Token, Cookies und andere lokale Daten ab und leitet diese über Github aus. Um an die Anmeldeinformationen zu gelangen, bedienen sich die Shai-Hulud-Angreifer eines quelloffenen Tools namens Trufflehog .

Sicherheitsforscher von Wiz haben laut eigenem Blogbeitrag schon mehr als 25.000 Github-Repositorys identifiziert, die bei rund 350 Github-Nutzern zum Zwecke der Datenexfiltration erstellt wurden. Etwa alle 30 Minuten sollen rund 1.000 weitere Repos hinzukommen.

Entwickler sollten dringend handeln

Zum Ausmaß des Angriffs schreiben die Wiz-Forscher, dass etwa 27 Prozent der von Wiz gescannten Cloud- und Code-Umgebungen mindestens eines der kompromittierten NPM-Pakete verwenden. Einige betroffene Pakete sollen allerdings schon wieder bereinigt worden sein, darunter jene von Postman und Zapier. Kompromittierte Versionen wurden überdies aus der NPM-Datenbank entfernt.

Entwickler, die mit NPM-Paketen arbeiten, sollten dringend die Abhängigkeiten ihrer Softwareprojekte überprüfen. Sind kompromittierte Pakete heruntergeladen worden, so sollten diese sofort entfernt, der node_modules-Ordner gelöscht und alle über das jeweilige System zugänglichen Anmeldeinformationen erneuert werden.

Listen bisher betroffener NPM-Pakete sind sowohl bei Wiz als auch bei Socket zu finden und werden dort laufend aktualisiert. Aber auch Sicherheitsexperten von Stepsecurity , Koi , Aikido und Helixguard haben eigene Berichte mit nützlichen Informationen zu der laufenden Shai-Hulud-Angriffswelle veröffentlicht.