Ein kompromittierter GitHub-Account des Maintainers der Key-Value-Datenbank keyv hat eine weitreichende Lieferkettenattacke ausgelöst. Der Angriff durch den Shai-Hulud-Wurm betrifft die gesamte keyv-Paketfamilie mit zusammen mehr als zwei Milliarden Downloads pro Monat. Auch Pakete anderer Maintainer wurden über die betroffenen Kernpakete infiziert.
Bisher wurden bereits mehr als 1.300 bösartige Versionen von 444 npm-Paketen identifiziert. Der Schadcode wurde unter anderem als „ChainDrop“ bezeichnet. Die manipulierten Pakete enthalten zusätzliche Dateien und einen automatisch ausgeführten Eintrag in der package.json. Dadurch kann der Schadcode bereits bei der Installation eines Pakets gestartet werden.
Nach der Installation sucht die Malware gezielt nach Zugangsdaten und Geheimnissen. Betroffen sein können unter anderem GitHub- und npm-Tokens, AWS- und Microsoft-Azure-Zugangsdaten, HashiCorp-Vault-Tokens sowie Zugangsdaten für Dienste wie Stripe und Slack. Auch Kubernetes-Secrets können ins Visier geraten.
Die erbeuteten Daten werden verschlüsselt und anschließend in von den Angreifern kontrollierte öffentliche GitHub-Repositories übertragen. Gestohlene npm-Tokens ermöglichen es dem Schadprogramm zudem, sich weiter auszubreiten. Der aktuelle Angriff zeigt erneut, wie groß das Risiko kompromittierter Software-Lieferketten ist und wie wichtig die Kontrolle eingesetzter Abhängigkeiten bleibt.
Angriffe auf Software-Lieferketten zeigen, wie eng IT-Sicherheit, Datenschutz und sichere Entwicklungsprozesse miteinander verbunden sind. Eine fachkundige Prüfung von Abhängigkeiten, Sicherheitsmaßnahmen und relevanten Normen kann helfen, Risiken frühzeitig zu erkennen und die eigene IT belastbarer aufzustellen.
TISAX Beratung – Umsetzung und Vorbereitung auf Assessment
https://www.tec4net.com/web/tisax-informationssicherheit-in-der-automobilindustrie
Wir sind Experten für Datenschutz und IT-Sicherheit
Profitieren Sie von unserer umfassenden Beratung zu den Themen Datenschutz und IT-Sicherheit. Unser erfahrenes Team unterstützt Sie dabei, Ihre Website und digitalen Dienste datenschutzkonform zu gestalten um die gesetzlichen Vorgaben zu erfüllen.
Kontaktieren Sie uns noch heute und sichern Sie sich praxisnahe Beratung zur Umsetzung der DSGVO und Normen wie ISO 27001, PCI-DSS oder TISAX.
Datenschutz und IT-Sicherheit praktikabel umsetzen – tec4net GmbH
www.tec4net.com – www.it-news-blog.com – www.it-sachverstand.info – www.datenschutz-muenchen.com – www.it-sicherheit-muenchen.com
Alle unsere NEWS -> http://news.tec4net.com