LONDON (IT BOLTWISE) – Eine neue Supply-Chain-Kampagne namens „TrapDoor“ hat offenbar 34 kompromittierte Pakete in npm, PyPI und Crates.io in Umlauf gebracht und dabei Entwicklerdaten sowie Krypto-Wallet-Zugänge abgegriffen. Wie aus Sicherheitsanalysen hervorgeht, tarnen die Angreifer die Schadsoftware als harmlose Tools für Entwicklung und Sicherheitsprüfungen. Besonders kritisch: Die Kampagne zielt auch auf Konfigurationsdateien von KI-Coding-Assistants, sodass automatisierte Prüfungen zur Exfiltration genutzt werden. Die Entdeckung erfolgte laut Schätzungen binnen Minuten, bevor sich die bösartigen Abhängigkeiten breit durchsetzen konnten.
Statt neue Exploits in fertigen Anwendungen zu suchen, setzt der jüngst bekannt gewordene Supply-Chain-Ansatz „TrapDoor“ direkt dort an, wo Entwickler täglich Vertrauen aufbauen: bei Paketregistern und Abhängigkeitsketten. Der Angriff bringt insgesamt 34 bösartige Pakete in drei Ökosystemen (npm, PyPI und Crates.io) mit über 384 zugehörigen Versionen unter die Leute. Im Fokus stehen dabei nicht nur klassische Credentials, sondern auch Wallet-Zugriffe und funktionale Systemdaten, die für die weitere Kompromittierung genutzt werden. Für Unternehmen entsteht daraus ein doppeltes Risiko: Einerseits die unmittelbare Datenerhebung, andererseits die Möglichkeit, kompromittierte Rechner in dauerhafte Eintrittspunkte zu verwandeln.
Technisch auffällig ist, dass die Kampagne die Ausführung eng an den jeweiligen Registry- und Build-Kontext anpasst. Damit wird die Wahrscheinlichkeit erhöht, dass bösartiger Code schon während normaler Installations- und Build-Workflows „still“ läuft, ohne dass Teams die Abhängigkeiten gründlich prüfen. Laut Analyse beginnt die Beobachtung offenbar früh mit einem PyPI-Paket namens „eth-security-auditor“ (Version 0.1.0), das am 22. Mai 2026 veröffentlicht wurde, bevor weitere Komponenten in Wellen nachgeschoben wurden. Auffällig sind zudem die scheinbar vertrauten Namen wie „prompt-engineering-toolkit“, „solidity-deploy-guard“ oder „defi-threat-scanner“, die sich an angrenzende Communitys anlehnen.
Während viele Angriffe im Supply-Chain-Umfeld auf Typosquatting oder einfache Manifest-Manipulation setzen, beschreibt „TrapDoor“ einen umfassenden Persistenz- und Ausbreitungsplan. Im npm-Zweig wird etwa ein umfangreicher Payload-Code („trap-core.js“) genannt, der langfristigen Zugriff durch Mechanismen wie systemd-Services, Cron-Jobs sowie Git- und Shell-Hooks etablieren kann. Damit kann ein kompromittierter Entwicklungs- oder Build-Host nach der ersten Ausführung selbst dann noch weiterarbeiten, wenn das bösartige Paket später entfernt wird. Besonders gefährlich ist, dass gestohlene SSH-Schlüssel anschließend für automatisiertes Lateral Movement wiederverwendet werden, wodurch aus einem betroffenen Arbeitsplatz schnell ein Zugangspunkt für breitere Unternehmensbereiche entstehen kann.
Der strategische Kern der Kampagne liegt jedoch in der gezielten Adressierung moderner KI-gestützter Programmier-Workflows. Die Angreifer modifizieren Konfigurationsdateien wie „.cursorrules“ und „CLAUDE.md“, um KI-Coding-Assistants in Richtung Credential-Exfiltration zu lenken. Um dabei die bösartige Absicht zu verschleiern, sollen Zero-Width-Unicode-Zeichen genutzt werden, die in der Darstellung kaum auffallen, aber vom Prompt-Parsing verarbeitet werden. In der Praxis ist das besonders heikel: Wenn ein Tool wie ein automatisierter Projekt-Check gestaltet ist, können manipulierte Anweisungen als „legitime“ Sicherheitsprüfung wirken, während tatsächlich Daten aus Projekten und Umgebungen abgezogen werden. Diese Abzweigung verschiebt damit die Bedrohungslandschaft vom reinen Paket-Trust hin zur Vertrauenswürdigkeit von KI-gestützten Engineering-Prozessen.
Marktseitig zeigt der Fall außerdem, wie stark sich Angreifer die Open-Source-Ecosystem-Dynamik zunutze machen. Als Teil des Vorgehens wird ein GitHub-Konto („ddjidd564“) genannt, das über irreführende Pull Requests Konfigurationsdateien in prominente Projekte wie LangChain, MetaGPT oder OpenHands einzuspielen versucht. Das ist eine bekannte Angriffslogik aus früheren Supply-Chain-Szenarien: Sobald Änderungen in sichtbare Repositories gelangen, können sie in vielen Nutzerumgebungen indirekt Einfluss gewinnen. Gleichzeitig wird damit der Zeitvorteil ausgenutzt: In der Community wird häufig über Code-Reviews und CI-Sichtbarkeit diskutiert, aber die tatsächliche Gefahr entsteht oft erst beim späteren Ausführen eingebetteter Projektkonfigurationen. Analysten und Security-Teams verweisen deshalb zunehmend darauf, dass nicht nur Abhängigkeiten, sondern auch Projektmetadaten und „Agent-Rules“ geprüft werden müssen.
Wie schnell so etwas eskalieren kann, wird in der Analyse durch eine gemeldete mittlere Erkennungszeit von 5 Minuten und 27 Sekunden illustriert. Entscheidend ist: Diese schnelle Klassifizierung hat den Angriff laut Darstellung als bösartig markiert, bevor es zu einer breiten Adoptionswelle gekommen sei. Im Vergleich zu früheren Wellen kompromittierter npm-Pakete, bei denen bösartige Updates teils lange unentdeckt blieben, deutet das auf eine fortgeschrittene Detektionsarbeit hin – zugleich zeigt der Fall, dass „kurz“ nicht „harmlos“ bedeutet. Für die Defensive entsteht daraus eine klare Linie: Rate-Limits, Paket-Signaturen, automatisierte Policy-Scans und schnelle Quarantäneprozesse müssen so ausgelegt sein, dass sie im Minutenbereich reagieren können, nicht erst im Tagesrhythmus.
Zur Skalierung setzt „TrapDoor“ außerdem auf ein Command-and-Control-Setup über GitHub Pages, das sowohl aktive Konfigurationen als auch ein strukturiertes Design-Dokument („AUDIT-MATRIX.md“) bereitstellt. Solche Playbooks verfolgen typischerweise das Ziel, eine „Disguise Layer“ zu nutzen, die die scheinbar harmlose Entwicklerautomation mit der tatsächlich beabsichtigten Credential-Theft verknüpft. Aus Sicht der technischen Abwehr ist das relevant, weil hier die Exfiltration nicht nur statisch codiert ist, sondern auch mit Live-Validierung arbeitet: Gelesene AWS- und GitHub-Tokens sollen über API-Queries geprüft werden, bevor der Angreifer weiter investiert. Der Einsatz fortgeschrittener kryptografischer Verfahren wird genannt, um Netzwerkdetektion zu erschweren und damit klassische NDR/IDS-Muster zu umgehen.
Für die Zukunft ist die wichtigste Konsequenz, dass Security-Strategien KI-Engineering-Prozesse explizit einbeziehen müssen. Während klassische SBOM- und Dependency-Scans Pakete adressieren, wird hier gezeigt, dass Konfigurationsdateien, Agent-Regeln und Tool-Integrationen selbst zum Exfiltrationskanal werden können. Unternehmen sollten deshalb die CI/CD-Pipeline so härten, dass auch KI-Assistants und deren Projektdateien in der Prüfkette landen, inklusive ungewöhnlicher Unicode-Zeichen, verdächtiger Prompt-Segmente und unerwarteter Hook-Änderungen. Gleichzeitig lohnt ein Vergleich mit etablierten Ansätzen aus anderen Supply-Chain-Kampagnen: Je stärker Organisationen auf signierte Artefakte, reproduzierbare Builds und isolierte Ausführungsumgebungen setzen, desto geringer fällt der Schaden aus, wenn doch einmal ein bösartiges Paket durchrutscht. Entwickler wiederum profitieren von klareren Leitlinien, welche Dateien in Repo-Reviews besonders sensibel sind und wie man KI-gestützte Scans gegen Manipulation absichert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TrapDoor: Supply-Chain-Angriff mit 34 Paketen in npm, PyPI und Crates.io" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TrapDoor: Supply-Chain-Angriff mit 34 Paketen in npm, PyPI und Crates.io" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TrapDoor: Supply-Chain-Angriff mit 34 Paketen in npm, PyPI und Crates.io« bei Google Deutschland suchen, bei Bing oder Google News!