Computerwürmer galten lange als Relikt der Vergangenheit. Doch die Entdeckung des Wurms „Shai-Hulud“ zeigt, dass sich die Bedrohung verlagert hat: Er infiziert nicht mehr primär lokale Netzwerke, sondern greift direkt die Lieferkette moderner Softwareentwicklung an – das sogenannte npm-Ökosystem. Eine Analyse von André Heller, Head of Field Engineering bei Mondoo.
Moderne Software wird kaum noch komplett selbst geschrieben. Entwickler nutzen den Node Package Manager (npm), die weltweit größte Plattform für fertige Softwarebausteine (Pakete). Das Prinzip ähnelt der Automobilindustrie: Ein Autobauer kauft Bremsen von einem Zulieferer, der seine Schrauben wiederum von einem anderen Lieferanten bezieht.
Das Problem: Warum moderne Software so verwundbar ist
In der Softwarewelt nennt man das transitive Abhängigkeiten. Wenn ein Entwickler ein Paket installiert, werden oft Dutzende andere unsichtbare Pakete im Hintergrund automatisch mitgeladen. Genau diese Vertrauenskette nutzt der Shai-Hulud-Wurm schamlos aus.
Die Evolution des Wurms (September 2025 – Januar 2026)
Der Wurm hat sich in drei großen Wellen rasant weiterentwickelt und dabei gelernt, Abwehrmechanismen geschickt zu umgehen:
Ausmaß & Besonderheiten
- 1. Welle (September 2025): Angreifer stehlen Passwörter von Entwicklern per Phishing. Über 180 Pakete infiziert. Schaden: ca. 50 Millionen US-Dollar in Krypto-Währungen gestohlen.
- 2. Welle (November 2025): Massive Eskalation: Fast 800 infizierte Pakete und über 25.000 betroffene Code-Speicher (Repositories). Bekannte Plattformen wie PostHog, Zapier und Postman wurden getroffen.
- 3. Welle (Januar 2026): Der Code wurde weiter versteckt und läuft nun auch auf Windows-Systemen. Es gibt keinen eingebauten Notausschalter mehr – der Wurm agiert völlig autonom.Im Mai 2026 nahm die Entwicklung eine neue Wendung. Die Tätergruppe hinter Shai-Hulud veröffentlichte den Quellcode des Wurms auf GitHub und rief in einschlägigen Foren dazu auf, ihn zu kopieren und für eigene Angriffe einzusetzen. Wenige Tage später erschienen die ersten Klone im npm-Ökosystem, darunter eine nahezu identische Kopie mit eigener Steuerungsinfrastruktur sowie gefälschte Varianten populärer Pakete. Entscheidend ist dabei weniger die Raffinesse dieser Nachahmer als ihre Plumpheit. Sie verzichten weitgehend auf jede Verschleierung und funktionieren dennoch, weil die zugrunde liegende Schwachstelle offenliegt. Paketmanager führen den Code jeder Abhängigkeit nach wie vor ungeprüft aus. Die Eintrittshürde für Angreifer ist damit drastisch gesunken, und weitere Wellen sind absehbar.
Der vereinfachte Trick: Vom „Postinstall“ zum „Preinstall“
Der größte technische Sprung gelang den Angreifern im November 2025 durch die Veränderung des Ausführungszeitpunkts der Schadsoftware:
Bisher (Postinstall): Der Schadcode wurde nach der erfolgreichen Installation eines Pakets ausgeführt.
Jetzt (Preinstall): Die Schadroutine startet vor dem eigentlichen Installationsprozess. Das bedeutet: Selbst wenn die Installation fehlschlägt oder abgebrochen wird, hat der Wurm das System bereits infiziert und Zugangsdaten gestohlen.
Zusätzlich bauten die Angreifer einen „Dead Man’s Switch“ ein: Fand der Wurm auf einem System keine lohnenswerten Passwörter zum Weiterschicken, löschte er aus purem Vandalismus wichtige Daten auf dem Computer des Opfers.
Wie sich die Infektion ausbreitet
- Diebstahl: Der Wurm stiehlt geheime Passwörter und Zugangsdaten (Tokens) auf dem PC eines Entwicklers.
- Infektion: Mit diesen Daten loggt sich der Wurm auf der npm-Plattform ein und schleust Schadcode in die Pakete des Entwicklers ein.
- Kettenreaktion: Andere Unternehmen laden diese vermeintlich sicheren Updates herunter – der Wurm infiziert ihre Systeme und sucht nach den nächsten Zugangsdaten. Ein einziger infizierter PC konnte so bis zu 100 weitere Pakete anstecken.
Beispiel Elastic: Das Sicherheitsunternehmen Elastic war betroffen, obwohl es das infizierte Paket selbst gar nicht nutzte. Es gelangte über ein anderes, harmloses Paket als „blinder Passagier“ in das System.
Konsequenzen: Was Unternehmen jetzt tun müssen
Die Plattform npm hat reagiert und Sicherheitszertifikate im Dezember kurzfristig massiv verschärft. Dennoch bleibt das Grundproblem bestehen: Automatische Skripte im Hintergrund werden weiterhin ausgeführt.
Sofortmaßnahmen
- Systeme prüfen: Suchen Sie in Ihren Entwicklerumgebungen nach dem aktuell infizierten Paket @vietmoney/react-big-calendar (Version 0.26.2).
- Logdaten überwachen: Achten Sie auf ungewöhnliche Dateinamenschöpfungen wie 3nvir0nm3nt.json oder c9nt3nts.json – das sind typische Spuren der Datenexfiltration des Wurms.
Langfristige Strategie
Unternehmen dürfen nicht erst reagieren, wenn das Kind in den Brunnen gefallen ist. Nötig ist ein durchgängiges Security Posture Management:
- Automatisierte Scans: Externe Code-Pakete müssen automatisch vor dem Einspielen in die eigene Software auf Schadcode geprüft werden.
- Rechte einschränken: Entwickler-PCs und automatisierte Systeme dürfen nur so viele Zugriffsrechte besitzen, wie unbedingt nötig, um den Schaden bei einem Diebstahl zu minimieren.
Über Mondoo
Die Mondoo GmbH mit Sitz in Berlin ist das deutsche Unternehmen für Actionable Exposure Management. Mondoo verfolgt die Vision, die Cybersicherheit grundlegend zu transformieren und eine digitale Welt zu schaffen, in der Sicherheitsprobleme dauerhaft im Kern behoben werden.
Passende Artikel zum Thema
Shai-Hulud: Wie ein Wurm das npm-Ökosystem bedroht
Fachliche Einordnung
Die Fachplattform B2BCS ordnet das Auftauchen des Wurms „Shai-Hulud“ als Wendepunkt in der Sicherheit von Open-Source-Software-Lieferketten (Software Supply Chain) ein. Die von André Heller (Head of Field Engineering bei Mondoo) analysierte Bedrohung zeigt, dass sich klassische Wurm-Mechanismen auf Entwicklungsplattformen wie npm verlagert haben. Das Risiko betrifft nicht mehr primär Endnutzer-Systeme, sondern untergräbt das fundamentale Vertrauensprinzip moderner Softwareentwicklung: transitive Abhängigkeiten. Da Entwickler-Zugänge systematisch als Multiplikatoren genutzt werden, können scheinbar unbedeutende Unterpakete globale Konzerne und Sicherheitsanbieter gleichermaßen kompromittieren.
Key-Takeaways
- Evolution über drei Wellen: Von September 2025 bis Januar 2026 infizierte Shai-Hulud hunderte npm-Pakete und über 25.000 Repositories. Betroffen waren unter anderem führende Plattformen wie PostHog, Zapier, Postman und Elastic – Letztere als „blinder Passagier“ über transitive Abhängigkeiten.
- Gefährlicher Preinstall-Trick: Durch die Verschiebung der Schadroutine vom
postinstall– auf daspreinstall-Skript infiziert der Wurm Entwickler-Systeme bereits vor dem eigentlichen Installationsprozess. Selbst abgebrochene oder fehlgeschlagene Builds führen zur Kompromittierung. - Autonomer Quellcode-Leak: Nach der Entfernung von Notausschaltern im Januar 2026 veröffentlichten die Akteure im Mai den Quellcode. Seither zirkulieren plumper, aber funktionierender Klon-Code und gefälschte Pakete, da Paketmanager Skripte aus Abhängigkeiten weiterhin ungeprüft ausführen.
- Destruktiver „Dead Man’s Switch“: Findet der Wurm auf einem infizierten System keine verwertbaren Tokens oder Passwörter zur Weiterverbreitung, löscht eine integrierte Zerstörungsroutine gezielt lokale Daten.
- Infiltration bekannter Indikatoren: Aktuell gilt das Paket
@vietmoney/react-big-calendar(Version 0.26.2) als infiziert. Typische Artefakte der Exfiltration sind verdeckte Dateien wie3nvir0nm3nt.jsonoderc9nt3nts.json.
Strategische Analyse
Die Angriffe durch Shai-Hulud offenbaren eine strukturelle Schwachstelle moderner CI/CD-Pipelines und Entwickler-Workstations. Das Grundproblem liegt im Standardverhalten gängiger Package Manager, die während der Abhängigkeitsauflösung ungesteuert Code-Skripte ausführen. Angreifer nutzen gestohlene Entwickler-Tokens, um legitime Pakete zu kapern und per Automatisierung bis zu 100 Folge-Pakete pro infiziertem Host anzustecken. Die Veröffentlichung des Quellcodes verschärft die Lage im Sommer 2026 massiv: Skript-Kiddies und Nachahmer können nun ohne tiefe Vorkenntnisse funktionierende Würmer auf das npm-Ökosystem ansetzen. Das blinde Vertrauen in Open-Source-Dependencies ist damit endgültig als unkalkulierbares Sicherheitsrisiko einzustufen.
Handlungsempfehlung:
Unternehmen müssen ihre Software-Lieferkette und die Berechtigungen in Entwicklerumgebungen unverzüglich absichern.
- Deaktivierung automatischer Skript-Ausführungen: Konfigurieren Sie Paketmanager in CI/CD-Pipelines und auf Entwickler-Workstations so, dass Lifecycle-Skripte standardmäßig unterdrückt werden (z. B. via
npm config set ignore-scripts trueoder Nutzung von--ignore-scripts). - Einführung von Software Supply Chain Security (SCA): Implementieren Sie automatisierte Security-Postures und Scans (SCA-Tools), die transitive Abhängigkeiten vor dem Herunterladen und Einbinden in die eigene Codebasis auf Schadcode, Verhaltensabweichungen und neu hinzugefügte Preinstall-Skripte prüfen.
- Strenges Token- und Rechtemanagement: Beschränken Sie die Lebensdauer und Privilegien von Entwickler-Tokens und npm-Zugängen drastisch. Der Einsatz von Hardware-Sicherheits-Tokens (FIDO2/WebAuthn) für alle Veröffentlichungs- und Registry-Zugriffe muss zwingend vorgeschrieben werden, um den Diebstahl von Zugangsdaten wirkungslos zu machen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200