Supply-Chain-Angriff: Hunderte von NPM- und PyPI-Paketen kompromittiert
Der von Forschern als Mini-Shai-Hulud bezeichnete Supply-Chain-Angriff, der zuletzt NPM-Pakete von SAP traf, scheint sich gerade massiv auszuweiten. Zum 11. Mai haben Sicherheitsforscher von Socket 84 weitere kompromittierte Pakete entdeckt, die mit dem Open-Source-App-Framework Tanstack verbunden sind. Mittlerweile listen die Forscher aber in ihrem Blogbeitrag(öffnet im neuen Fenster) über 400 Pakete auf, die auch andere Softwareprojekte betreffen.
Hinter den Angriffen steckt wohl erneut TeamPCP, eine Hackergruppe, die in den letzten Monaten schon mehrfach durch teils folgenschwere Supply-Chain-Angriffe auffiel. Wie auch bei den früheren Angriffen hat die Gruppe es vor allem auf Anmeldeinformationen abgesehen, mit denen sie ihre Angriffswelle auf weitere Softwareprojekte ausweiten kann.
Eine Auflistung der zuletzt anvisierten Datenarten ist in einem separaten Bericht von Aikido(öffnet im neuen Fenster) zu finden. Demnach sammeln die Angreifer unter anderem Github- und NPM-Tokens, Zugangs- und Metadaten für AWS, Tokens für Kubernetes-Dienstkonten, Umgebungsvariablen und andere vertrauliche Daten, die in CI/CD-Pipelines und auf Entwicklersystemen zu finden sind.
Über 400 Paketversionen betroffen
Die kompromittierten Softwarepakete haben teilweise einen recht hohen Verbreitungsgrad. Allein die betroffenen Tanstack-Pakete @tanstack/react-router(öffnet im neuen Fenster) und @tanstack/history(öffnet im neuen Fenster) kamen zuletzt jeweils auf über 11 Millionen Downloads pro Woche. Und das sind nur zwei von insgesamt 416 Software-Paketversionen, die die Socket-Forscher in ihrem Bericht als betroffen auflisten.
Bei den meisten davon handelt es sich um NPM-Pakete. Teilweise sind aber auch Pakete aus dem Python Package Index (PyPI) betroffen, etwa von Mistral AI(öffnet im neuen Fenster) und Guardrails AI(öffnet im neuen Fenster). Die Angreifer haben jeweils Schadcode eingeschleust, der der bereits genannten Datenausleitung dient. Auf die Zielsysteme gelangt er in Form einer rund 2,3 MByte großen und stark verschleierten Datei namens router_init.js.
Entwickler sollten dringend handeln
Softwareentwickler, die NPM- oder PyPI-Pakete im Einsatz haben, sollten dringend prüfen, ob sie möglicherweise eine oder mehrere betroffene Versionen der kompromittierten Pakete heruntergeladen haben. Ist dies der Fall, so sind die jeweiligen Systeme als kompromittiert zu betrachten. Darauf verfügbare Anmeldedaten sollten dann dringend rotiert werden. Auch eine Prüfung zugänglicher Code-Repositorys auf verdächtige Änderungen ist anzuraten.
Detailliertere Angaben dazu, wie sich erfolgreiche Kompromittierungen erkennen lassen und welche Schutzmaßnahmen bei Betroffenheit durchgeführt werden sollten, sind in den Blogbeiträgen von Socket(öffnet im neuen Fenster) und Aikido(öffnet im neuen Fenster) zu finden. Die Tanstack-Entwickler haben bereits einen Postmortem-Bericht veröffentlicht(öffnet im neuen Fenster), in dem sie den Ablauf des Angriffs auf ihre Pakete detailliert schildern.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.