Wurm im node_modules: Forensik gegen selbstreplizierende npm-Angriffe
17.07.2026 supply-chain-securitynpmmalware-forensicsci-cd-security
Die npm-Lieferkette als Angriffsvektor
Das Jahr 2026 hat gezeigt, wie verwundbar die Software-Lieferkette wirklich ist. Am 30. März 2026 wurde die JavaScript-Bibliothek Axios kompromittiert – weaponisiert als Verteilungsvehikel für einen plattformübergreifenden Remote Access Trojaner, obwohl die Bibliothek über 100 Millionen wöchentliche npm-Downloads verzeichnet. Der Angreifer hatte das Maintainer-Konto übernommen und poisoned Versionen sowohl im 1.x- als auch im veralteten 0.x-Release-Zweig innerhalb von 39 Minuten veröffentlicht, dazu eine Phantom-Abhängigkeit injiziert, die persistente Malware auf macOS, Windows und Linux platzieren sollte.
Das war kein Einzelfall. Das Paket wird rund 100 Millionen Mal pro Woche heruntergeladen und liegt unter mehr als 174.000 abhängigen Paketen – für rund drei Stunden zog jeder, der eine frische Installation durchführte, einen plattformübergreifenden Remote Access Trojaner direkt in seinen Build. Nur wenige Wochen später, am 14. Mai 2026, traf es node-ipc: drei bösartige Versionen einer grundlegenden Node.js-Bibliothek mit über 10 Millionen wöchentlichen Downloads wurden gleichzeitig veröffentlicht, jede mit einem identischen 80-KB-obfuszierten Credential-Stealing-Payload. Die Publikationsstrategie war dabei kein Zufall: das gleichzeitige Veröffentlichen über zwei Major-Versionslinien ist eine bewusste Strategie zur Maximierung des Schadensradius.
Auch Tech-Konzerne blieben nicht verschont. Selbst OpenAI meldete, dass am 11. Mai 2026 TanStack, eine weitverbreitete Open-Source-Bibliothek, im Rahmen eines breiteren Supply-Chain-Angriffs kompromittiert wurde – zwei Mitarbeitergeräte in der Unternehmensumgebung waren betroffen. Das Unternehmen bestätigte, Aktivität beobachtet zu haben, die mit dem öffentlich beschriebenen Verhalten der Malware übereinstimmt, einschließlich unautorisierten Zugriffs und credential-fokussierter Exfiltration in einer begrenzten Teilmenge interner Quellcode-Repositories.
Anti-Forensik im node_modules-Ordner
Was diese Angriffswelle für Incident Responder besonders unangenehm macht, ist die eingebaute Anti-Forensik. Nach der Axios-Attacke zeigte die technische Analyse: forensische Analyse offenbarte ausgefeilte Obfuskation, Anti-Forensik und plattformspezifische Payloads, was kritische Lücken in der Supply-Chain-Sicherheit aufzeigt, besonders bei Dependency-Pinning und CI/CD-Pipeline-Schutz. Konkret bedeutet das: die Malware überschreibt ihre eigene package.json mit einer sauberen Attrappe, sodass die Beweise bereits selbst zerstört sind, wenn jemand npm ls ausführt oder node_modules im Nachhinein untersucht.
Die Kampagnen entwickeln sich zudem zu echten Würmern. Bei der sogenannten Mini-Shai-Hulud-Kampagne, benannt nach dem ursprünglichen Wurm, beschreibt Unit 42: nach der Installation führt sie einen mehrstufigen Payload aus, der Anmeldedaten von Cloud-Anbietern, CI/CD-Systemen und Entwickler-Workstations stiehlt und sich dann selbst repliziert, indem sie jedes npm-Paket backdoored, das das Opfer veröffentlichen kann. Anfang Juni traf es Red-Hat-Namespace-Pakete: ein neuer Supply-Chain-Angriff kompromittierte am 1. Juni 2026 mindestens 32 Pakete unter dem @redhat-cloud-services npm-Namespace, wobei der Angreifer die Code-Review komplett umging und einen Payload namens Miasma einschleuste. Mitte Juli folgte ein Nachfolgeangriff auf AsyncAPI-Repositories, bei dem die Angreifer die Release-Pipelines von vier zentralen AsyncAPI-GitHub-Repositories kompromittierten und fünf trojanisierte Pakete unter dem Namen miasma-train-p1 veröffentlichten – diesmal allerdings über einen anderen Einstiegspunkt: der initiale Zugriff erfolgte nicht über ein kompromittiertes Mitarbeiterkonto, sondern die Angreifer nutzten eine Prozesslücke direkt in der CI/CD-Pipeline aus.
Was das für Incident Responder bedeutet
Die Zahlen unterstreichen den Trend: Sonatypes 2026 State of the Software Supply Chain Report zählte mehr als 454.600 neue bösartige Open-Source-Pakete allein in 2025 und drückte damit die kumulative Gesamtzahl blockierter Pakete auf über 1,233 Millionen – ein Anstieg von 75 Prozent gegenüber dem Vorjahr. Die Angriffe sind dabei längst kein Gelegenheitsgeschäft mehr: sie sind industrialisiert, staatlich verknüpft und zunehmend selbstreplizierend.
Für die forensische Praxis heißt das: CI/CD-Pipeline-Logs, npm-Registry-Zeitstempel und Lockfiles müssen als primäre Beweisquellen behandelt werden, bevor Malware sie überschreiben kann. Investigatoren sollten Paket-Hashes gegen bekannte IoCs abgleichen, Publish-Events mit Maintainer-Authentifizierungsprotokollen korrelieren und – angesichts der Selbstreplikationsfähigkeit dieser Würmer – prüfen, ob kompromittierte Build-Umgebungen selbst zu Publikationsquellen für weitere infizierte Pakete wurden. Wer nach einem Vorfall nur node_modules durchsucht, kommt meist zu spät: Die eigentliche Beweiskette liegt in den Registry-Metadaten und CI/CD-Audit-Trails, lange bevor der Payload selbst seine Spuren verwischt.
← Zurück zur Übersicht