// LINUX-MAGAZIN — LINUX & OPEN SOURCE
Supply-Chain-Wurm infiziert Hunderte npm-Pakete
Ein sich selbst verbreitender Schadcode hat am 4. August 2026 innerhalb weniger Stunden zahlreiche Softwarepakete im JavaScript-Paketarchiv npm kompromittiert.
Das Sicherheitsunternehmen StepSecurity bezeichnet den Wurm als „ChainDrop“. Nach Angaben des Unternehmens infizierte die Schadsoftware innerhalb von weniger als vier Stunden 444 Pakete und 2212 Versionen bei mehr als einem Dutzend Organisationen.
Zu den betroffenen Paketen gehören unter anderem „keyv“, „flat-cache“ und „file-entry-cache“. Diese Bibliotheken kommen in zahlreichen JavaScript-Projekten zum Einsatz, darunter auch in der Entwicklungsumgebung ESLint sowie in Anwendungen, die auf „cache-manager“ oder „cacheable“ basieren. Dadurch könnte sich der Angriff auf einen großen Teil des JavaScript-Ökosystems auswirken.
Nach der Analyse von StepSecurity enthalten alle manipulierten Versionen ein identisches Angriffsmuster. Während der Installation startet ein sogenanntes Preinstall-Skript automatisch einen Schadcode. Dieser lädt zunächst die JavaScript-Laufzeitumgebung Bun herunter und aktiviert anschließend eine verschleierte zweite Schadsoftware. Diese soll Zugangsdaten stehlen, weitere manipulierte npm-Pakete veröffentlichen und sich in Entwicklungswerkzeuge mit Funktionen für Künstliche Intelligenz einnisten. Betroffen sind nach Angaben des Unternehmens unter anderem Claude Code, Visual Studio Code und GitHub Copilot.
Die Sicherheitsforscher stufen den Schadcode als Weiterentwicklung des bereits bekannten Wurms Shai-Hulud 2.0 ein. Die neue Variante nutzt die Ethereum-Blockchain für die Kommunikation mit ihren Steuerungsservern. Dieses Verfahren erschwert die Erkennung und Analyse des Datenverkehrs. Zudem soll der Wurm gestohlene Daten verschleiert übertragen und sich dauerhaft auf betroffenen Systemen verankern.
StepSecurity registrierte den Angriff zwischen am 4. August zwischen 9.40 Uhr und 13.20 Uhr UTC. Die kompromittierten Pakete erschienen jeweils wenige Minuten nach ihrer Veröffentlichung. Nach Einschätzung der Analysten verschafften sich die Angreifer Zugang zu Entwicklerkonten und veröffentlichten darüber manipulierte Versionen automatisiert. Als wahrscheinlich gelten gestohlene Zugangsdaten und Authentifizierungstoken der Paketbetreuer.
Red Hat hat gemeinsam mit Unternehmen und Forschungseinrichtungen die Open-Source-Initiative AI Safety and Governance Orchestration, kurz Asago, gegründet. Das Projekt entwickelt eine Plattform, die Unternehmen bei der Umsetzung von Sicherheits- und Governance-Vorgaben für Systeme mit...
Alibabas kürzlich veröffentlichtes Mixture-of-Experts-Modell mit 2,4 Billionen Parametern Qwen3.8-Max, übertrifft nach eigenen Angaben des chinesischen Herstellers mit 86,1 Punkten im Benchnmark OSWorld-Verified sowohl GPT-5.6 Sol Max (OpenAI, 83.2) als auch Fable 5 (Anthropic, 85.0). Damit...
Fünf führende KI-Unternehmen - Amazon, Google, Microsoft, Meta und Oracle - geben so viel für die Entwicklung von KI und deren Bereitstellung für Kunden aus, dass sie laut einer Analyse der Washington Post auf der Grundlage von Daten von S&P Global Market Intelligence im kommenden Jahr...
Deutschland kommt bei der Digitalisierung voran, kann mit dem Tempo insbesondere der kleineren EU-Länder aber nicht Schritt halten. Im neuen Bitkom-DESI-Index 2026 belegt Deutschland unter den 27 EU-Mitgliedstaaten den 17. Platz – mit 51,1 Punkten.