BERLIN / LONDON (IT BOLTWISE) – Eine neue Supply-Chain-Kampagne namens Miasma hat offenbar npm-Pakete manipuliert, um beim Installieren geheime Daten aus Entwicklerumgebungen zu extrahieren. Besonders kritisch ist, dass der Angriff auf CI/CD-Workflows abzielt, verschlüsselte Exfiltration nutzt und gestohlene Zugriffe zur weiteren Verbreitung vorbereiten kann. Analysten berichten zudem von variantenabhängiger Verschlüsselung, die Erkennung und Nachverfolgung erschwert, sowie von Hinweisen auf eine kompromittierte GitHub-Identität als Einstiegspunkt.
Mit der Kampagne Miasma zeichnet sich ein weiteres Supply-Chain-Szenario ab, das weniger durch klassische „Ransomware“ dominiert wird, sondern durch präzise Angriffe auf die Vertrauensbasis moderner Softwarebereitstellung. Im Zentrum stehen offenbar manipulierte npm-Pakete, die mit einem install-time-Mechanismus starten und beim Einbau in Developer-Workflows geheime Informationen sammeln. Besonders brisant ist dabei die Kombination aus Credential-Harvesting, Zielen in CI/CD und verschlüsseltem Abfluss, weil dadurch nicht nur einzelne Rechner betroffen sind, sondern auch nachgelagerte Systeme, die aus dem kompromittierten Code neue Build-Artefakte erzeugen.
Technisch knüpft Miasma an ein Muster an, das in früheren „Mini Shai-Hulud“-Wellen beschrieben wurde: Der Schadcode versteckt sich in einem obfuskierten preinstall-Hook und nutzt genau die Zeitfenster, in denen Entwickler typischerweise automatisiert Abhängigkeiten installieren. Aus den betroffenen Paketen sollen demnach GitHub Actions Secrets, npm-Tokens, Cloud-Anmeldeinformationen sowie weitere sensitive Dateien wie SSH-Keys und Vault-bezogene Artefakte extrahiert werden. Die Angriffslogik setzt außerdem auf eine CI/CD-spezifische Ausführung und tarnt die Übermittlung durch Verschlüsselung, wodurch Netzwerk-Indikatoren oft weniger eindeutig ausfallen.
Im Detail wird die Abflussstrategie als mehrstufig beschrieben: Verschlüsselte Daten sollen an einen Angreifer-Endpunkt gesendet werden und dabei GitHub als Ausweich- bzw. Fallback-Mechanismus dienen. Zusätzlich werden GitHub-seitige APIs verwendet, um Commit- und Workflow-Aktionen so einzuschleusen, dass Änderungen wie „verifizierte“ Beiträge wirken. Für den Angriff relevant ist außerdem, dass die Malware offenbar die Zielumgebung weiter „rekonfiguriert“: Es werden Workflows erstellt oder angepasst, die Token-basierte Schreibrechte ausnutzen, und es werden Ausführungsbedingungen so gewählt, dass der Code nicht in jeder Sprach- oder Systemvariante hochfährt. Parallel kommt es zu Hinweisen, dass pro Infektion ein individuell verschlüsseltes Payload-Objekt entsteht, was Signaturerkennung und Versionstracking deutlich erschwert.
Für den Einstieg in diese Kampagne deuten die Analysen auf kompromittierte Identitäten hin: Berichten zufolge könnte ein kompromittiertes GitHub-Konto als patient zero gedient haben. Der Verdacht richtet sich auf eine Phase, in der bösartige „orphan commits“ in Red-Hat-nahe Repositories gepusht wurden, um Code-Review-Schleifen zu umgehen. In der Praxis bedeutet das für Sicherheitsteams, dass die reine Betrachtung von npm-Paketversionen allein nicht genügt, sondern auch die Commit-Historie, API-Nutzung und ungewöhnliche Repository-Aktivitäten in den Blick genommen werden müssen. Besonders wichtig: Wenn Build-Systeme in den betroffenen Zeitraum fallen, können veröffentlichte Artefakte, Container-Images oder Deployment-Pakete ebenfalls kontaminiert sein.
Dass Miasma in der Breite besonders für Unternehmen gefährlich wird, zeigt der Marktbezug: Mehrere Sicherheits- und Supply-Chain-Analysten ordnen die Operation als konsequenten Ausbau von bekannten Mini-Shai-Hulud-Techniken ein. Dabei fallen die Rollen vieler Tools auf, die man in der Praxis als Standard im Enterprise-Setup kennt – von Härtungskomponenten in CI-Runnern bis hin zu Endpoint-Schutzanbietern. Solche Hersteller können Indikatoren liefern (etwa zu verdächtigen Runner-Initialisierungen), aber die Angreifer zielen gleichzeitig darauf, Schutzmechanismen selektiv zu prüfen. Genau dieser Abgleich – „läuft Hardening bei mir, oder kann ich ungestört eskalieren“ – ist aus Expertensicht ein wiederkehrendes Muster bei Supply-Chain-Würmern.
Ein technischer Vergleich, der für Entscheider unmittelbar relevant ist, betrifft die Unterscheidung zwischen lokaler Bereinigung und systemischer In-Scope-Sanierung. Zwar mag das Entfernen des npm-Pakets oder das Löschen von node_modules kurzfristig wirken, doch die Malware kann offenbar Hintergrundausführung und Tool-Persistenz in Entwicklerumgebungen etablieren. Genannt werden dabei Anpassungen an Konfigurationsdateien und VS-Code-Projekt-Workflows, etwa über Session-/Task-Hooks, die bei jedem Entwickler-Login oder Projektöffnen wieder aktiv werden. Für die CI/CD-Seite gilt: Betroffene Workflow-Runs müssen pausiert, potenziell kompromittierte Build-Artefakte invalidiert und danach die komplette Lieferkette der erzeugten Releases geprüft werden – vom NPM-Paket bis zum Container-Image.
Gleichzeitig rückt Miasma stärker als zuvor in Richtung Cloud-Identitäten. Forschende berichten von neuen Data-Collector-Komponenten für GCP und Azure, die gezielt alle Identitäten erfassen, auf die die infizierte Maschine zugreifen kann. Das ist mehr als „klassisches Secret-Stealing“, weil daraus in der nächsten Phase oft direkte Handlungsfähigkeit in Cloud-Umgebungen folgt: Token, Rollen oder Zugriffspfade können genutzt werden, um Ressourcen anzupassen oder weitere Berechtigungen zu erlangen. Damit verschiebt sich der Risikokern von der Entwicklermaschine hin zu Plattform- und Cloud-Zugriffsrechten. Aus Markt- und Security-Perspektive ist das ein Signal, dass sich Angriffe zunehmend die zentralen Steuerungs- und Identitätslayer der Unternehmen zu eigen machen.
Für die Zukunft zeichnet sich ein klarer Handlungsdruck ab, der über reine Paket-Blocklisten hinausgeht. Unternehmen sollten Zugriffssteuerungen verschärfen, insbesondere über strikte Token-Lebenszyklen, Least-Privilege-Prinzipien und konsequente Rotation kompromittierter Credentials. Auf Build-Ebene empfiehlt sich, den Zeitraum der Exposition sauber zu definieren und Artefakte in dieser Phase systematisch zu revidieren. Zusätzlich sollten Sicherheitsteams GitHub-nahes Monitoring ausbauen: ungewöhnliche API-Aufrufe, unerwartete Workflow-Erstellungen sowie verdächtige Commit-Muster gehören in eine Supply-Chain-Detection-Strategie. Branchenexperten betonen dabei, dass erfolgreiche Angriffe häufig durch Kombinationen aus verschlüsselter Exfiltration, API-Manipulation und Persistenz zustande kommen – weshalb auch die Gegenmaßnahmen mehrschichtig sein müssen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Miasma Supply-Chain-Angriff manipuliert npm-Pakete bei Red Hat und stiehlt Credentials" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Miasma Supply-Chain-Angriff manipuliert npm-Pakete bei Red Hat und stiehlt Credentials" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Miasma Supply-Chain-Angriff manipuliert npm-Pakete bei Red Hat und stiehlt Credentials« bei Google Deutschland suchen, bei Bing oder Google News!