Neue Attacken auf NPM und GitHub
Microsoft hat bestätigt, dass NPM und GitHub erneut Ziel massiver Cyberangriffe geworden sind. Die aktuelle Angriffswelle wird der Hackergruppe TeamPCP zugeordnet, die unter dem Namen Mini-Shai-Hulud operiert.
Betroffen sind hunderte Pakete auf dem Node.js Package Manager NPM. Dabei handelt es sich um eines der zentralsten Repositories der JavaScript-Entwicklungscommunity – Millionen von Entwicklern weltweit laden täglich Pakete von dort herunter.
Bedrohungslage für Developer
Solche großflächigen Attacken auf Package Manager sind besonders kritisch, weil sie eine breite Angriffsfläche schaffen. Wenn Hacker es schaffen, beliebte Pakete zu kompromittieren oder zu ersetzen, können sie Malware in tausende von Projekten einschleusen – oft ohne dass Entwickler das unmittelbar bemerken.
Die Supply-Chain-Attacken dieser Art haben sich in den letzten Jahren zu einer der größten Sicherheitsrisiken entwickelt. Sie greifen nicht direkt den Quellcode an, sondern zielen auf die Abhängigkeiten – den schwächsten Punkt vieler Softwareprojekte.
Was Entwickler tun sollten
Für Entwickler bedeutet das: Aufmerksamkeit ist geboten. Es empfiehlt sich, die eigenen Dependency-Listen zu überprüfen und zu sehen, ob verdächtige oder unbekannte Pakete installiert wurden. Auch die Versionskontrolle der verwendeten Libraries sollte überprüft werden.
Microsoft und die NPM-Community haben solche Vorfälle in der Vergangenheit schnell adressiert, aber präventives Monitoring ist trotzdem sinnvoll. Tools wie npm audit können helfen, bekannt gewordene Sicherheitslücken in den eigenen Dependencies zu identifizieren.
Größeres Muster
Diese Angriffswelle reiht sich in eine Serie von Incidents ein, die zeigen, dass Open-Source-Repositories im Fadenkreuz von Cyberkriminellen stehen. Sie sind attraktive Ziele, weil sie große Reichweite mit relativ wenig Aufwand bieten – ein kompromittiertes Paket verbreitet sich viral über die globale Developer-Community.
Die Incident zeigt einmal mehr: Vertrauen ist gut, aber Kontrolle beim Thema Dependencies ist besser.