BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer neuen Supply-Chain-Kampagne, die mehrere PHP-Packages aus dem Laravel-Lang-Umfeld als Einstieg nutzt. Angreifer sollen tausende neu veröffentlichte Paket-Tags manipuliert haben, sodass schädlicher Code bei jeder Anfrage automatisch ausgeführt wird. Der Stealer sammelt umfangreiche Identitäts- und Zugangsdaten aus Cloud-, CI/CD- und Entwicklerumgebungen und exfiltriert sie an einen externen Server. Besonders kritisch: Der Schadcode wird plattformübergreifend ausgeliefert und soll nach dem Lauf Spuren löschen.
Was wie ein typischer PHP-Ökosystem-Update aussieht, entpuppt sich für Organisationen mit Laravel-Stacks als Risiko auf Lieferkettenebene: Eine neue Kampagne kompromittiert mehrere Pakete aus dem Laravel-Lang-Umfeld, um einen Credential Stealer in die Produktionsumgebung zu schmuggeln. Der Angriff setzt nicht primär auf eine einzelne „böse“ Paketversion, sondern wirkt wie eine systematische Manipulation der Veröffentlichungsroutine. Damit trifft es weniger die IT-Teams, die Updates kritisch prüfen, als vielmehr diejenigen, die auf automatisierte Dependency-Workflows vertrauen und Release-Artefakte ungeprüft übernehmen.
Technisch auffällig ist, wie eng der Schadcode mit dem Composer-Mechanismus verzahnt ist. Laut den Recherchen steckt der Kern in einer Datei namens „src/helpers.php“, die in der „composer.json“ über „autoload.files“ eingebunden wird. Das bedeutet: Sobald die betroffene Anwendung eine PHP-Anfrage bearbeitet, lädt Composer diese Datei automatisch, wodurch der Backdoor-Code ohne expliziten Funktionsaufruf beim regulären Request-Flow startet. Die Ermittler beschreiben zudem eine Payload, die den Host fingerprint’t und anschließend per Marker sicherstellt, dass sie pro System nur einmal anspringt.
Der Stealer ist dabei nicht auf eine einzelne Plattform begrenzt. Er kontaktiert einen externen Server, um einen plattformangepassten Payload-Block nachzuladen. Auf Windows soll eine Visual-Basic-Script-Launcher-Logik genutzt werden, die über „cscript“ ausgeführt wird. Unter Linux und macOS erfolgt die Ausführung über „exec()“. Laut Aikido Security umfasst der Dropper zudem eine etwa 5.900 Zeilen lange PHP-Komponente, die in mehrere spezialisierte Collector-Module organisiert ist. Diese Modularität erleichtert es Angreifern, gezielt Datenkategorien zu erweitern, ohne das gesamte Framework komplett umzubauen.
Inhaltlich zielt das Framework auf ein „Identity-Raster“ ab, das von Cloud- und Kubernetes-Zugängen bis hin zu CI/CD-Token reicht. Dazu zählen unter anderem Cloud-Metadata-Abfragen und Identitätsdokumente, Google Cloud Application Default Credentials, Azure Access Tokens sowie Kubernetes Service Account Tokens. Ebenso werden Helm-Registry-Setups und verschiedene Authentifizierungsdaten aus Plattformen wie DigitalOcean, Heroku, Vercel, Netlify, Railway und Fly.io ausgelesen. Im Entwicklerkontext trifft es außerdem Vault-Tokens, HashiCorp Vault, sowie Token und Konfigurationen aus Jenkins, GitLab Runners, GitHub Actions, CircleCI, TravisCI und ArgoCD.
Damit bewegt sich der Angriff in der gleichen Klasse wie andere Supply-Chain-Vorfälle, die in JavaScript (z. B. npm-Ökosysteme) bereits gezeigt haben, wie schnell sich kompromittierte Pakete in CI-Pipelines ausrollen können. Als direkte Wettbewerbs- und Vergleichsfolie lässt sich auch der PHP-Dependency-Workflow betrachten: Composer-Setups mit automatisiertem „composer install“ und ohne strenge Signatur- oder Provenance-Prüfung verhalten sich in der Praxis ähnlich zu Node-Setups. Branchenexperten beschreiben, dass genau die unübersichtliche Mischung aus „Update-Zwang“ und automatisierten Build-Schritten die Angriffsfläche vergrößert, weil die kompromittierte Komponente erst im Zusammenspiel mit dem Release- und Build-System ihre Wirkung entfaltet.
Ein besonders sensibles Detail ist die Breite der exfiltrierten Secrets über Entwicklungs- und Nutzerkontexte hinweg. Dazu gehören Seed Phrases und Wallet-Dateien (etwa aus gängigen Wallet-Ökosystemen), Browser-Historien, Cookies und Login-Daten, lokal gespeicherte Vault-Informationen sowie Daten aus Passwort-Managern wie 1Password, Bitwarden, LastPass, KeePass, Dashlane und NordPass. Darüber hinaus nennt das Material auch Daten aus Browser-Extension-Kontexten und die Umgehung von Chromium-Schutzmechanismen über eine Base64-eingebettete Windows-Executable. Das zeigt: Der Angriff versucht nicht nur „Server-Secrets“ zu stehlen, sondern auch personenbezogene Zugänge und Muster, die später für Social Engineering oder Persistenz genutzt werden können.
Aus Sicht der Infrastruktur ist die Datenerfassung zudem von einer klaren Exit-Strategie begleitet. Nach dem Sammeln werden die Ergebnisse mit AES-256 verschlüsselt und anschließend an den gleichen Endpunkt übertragen, von dem die Payload nachgeladen wird. Gleichzeitig soll sich der Code selbst löschen, um die forensische Aufarbeitung zu erschweren und die Wahrscheinlichkeit zu senken, dass Datei-IO-Spuren früh erkannt werden. Socket weist in seinen Analysen darauf hin, dass die zeitliche Abfolge der veröffentlichten Tags eher auf einen umfassenderen Kompromiss der Release-Prozesse hindeutet: Viele Versionen seien in schneller Folge am 22. und 23. Mai 2026 erschienen, teils in Sekundenabständen. Makari hebt wiederum die Größe und Spezialisierung des Stealers hervor und spricht von einem rund 15-moduligen Collector-Ansatz.
Für Unternehmen liegt die entscheidende Lehre weniger in der einzelnen Datei, sondern in der fehlenden Annahme „Release-Artefakte sind vertrauenswürdig“. Besonders in regulierten Branchen geraten dabei auch Datenschutz- und Compliance-Fragen in den Fokus: Wenn Authentifizierungs- und personenbezogene Daten von Browsern oder Passwortmanagern abfließen, können Pflichten aus dem europäischen Datenschutzrecht schnell tangiert sein, selbst wenn die Anwendung selbst „nur“ Textpakete aktualisiert. Ergänzend spielen Sicherheitsprozesse eine Rolle, etwa Protokollierung und Incident-Response-Fähigkeit in CI/CD-Logs. Eine klare, auditierbare Dependency-Strategie, idealerweise mit Lockfiles, SBOMs und automatisierten Prüfungen auf Versionsanomalien, ist der praktische Gegenpol zu genau solchen Tag-Massen-Releases.
Der Blick nach vorn zeigt zwei realistische Entwicklungslinien. Erstens werden Angreifer vermutlich weiter auf automatische Veröffentlichungspfade setzen und kompromittierte Releases nicht nur einzeln, sondern in Wellen verbreiten, weil dies das Entdeckungsfenster verkürzt. Zweitens wird die Abwehr stärker in Richtung „Supply-Chain-Provenance“ gehen: Signierte Artefakte, bessere Verifikation der Maintainer-Umgebung und strengere Policies gegen unplausible Release-Patterns. Für Entwicklerteams entsteht daraus ein klarer Handlungsraum: Wer heute konsequent auf überprüfbare Abhängigkeiten setzt und die Ausführung von „autoload“-Pfaden kritisch prüft, reduziert die Wahrscheinlichkeit, dass ein scheinbar harmloses Sprachpaket zum Einstieg in eine Credential-Kompromittierung wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angriff auf Laravel-Lang-PHP-Packages: Credential Stealer über kompromittierte Composer-Tags" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angriff auf Laravel-Lang-PHP-Packages: Credential Stealer über kompromittierte Composer-Tags" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angriff auf Laravel-Lang-PHP-Packages: Credential Stealer über kompromittierte Composer-Tags« bei Google Deutschland suchen, bei Bing oder Google News!