blacklens.io - Insights - Supply Chain Schock - CrowdStrike-Pakete kompromittiert

Erneut wird die OpenSource Community von einem groß angelegten Supply‑Chain‑Angriff erschüttert. Mehrere npm-Pakete von CrowdStrike wurden kompromittiert .

Über den crowdstrike-publisher Account wurden zahlreiche infizierte npm‑Pakete veröffentlicht. Darüber hinaus sind hunderte weitere kompromittierte Pakete von Drittanbieter betroffen (die derzeit bekannten sind am Ende des Artikels zusammengetragen). Wir empfehlen bei Verwendung sofort auf IOC (Indicators of Compromise) überprüfen & Secrets rotieren!

‍

Indicators of Compromise:

bundle.js SHA-256: 46faab8ab153fae6e80e7cca38eab363075bb524edd79e42269217a083628f09
Exfiltration endpoint: hxxps://webhook[.]site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7
de0e25a3e6c1e1e5998b306b7141b3dc4c0088da9d7bb47c1c00c91e6e4f85d6
81d2a004a1bca6ef87a1caf7d0e0b355ad1764238e40ff6d1b1cb77ad4f595c3
83a650ce44b2a9854802a7fb4c202877815274c129af49e6c2d1d5d5d55c501e
4b2399646573bb737c4969563303d8ee2e9ddbd1b271f1ca9e35ea78062538db
dc67467a39b70d1cd4c1f7f7a459b35058163592f4a9e8fb4dffcbba98ef210c
46faab8ab153fae6e80e7cca38eab363075bb524edd79e42269217a083628f09
b74caeaa75e077c99f7d44f46daaf9796a3be43ecf24f2a1fd381844669da777

Betroffene Crowdstrike Pakete:

Paket	Betroffene Versionen	Anmerkung
@crowdstrike/commitlint	8.1.1, 8.1.2	Richtlinienprüfung für Commits
@crowdstrike/falcon-shoelace	0.4.2	UI-Komponente
@crowdstrike/foundry-js	0.19.2	CrowdStrike SDK
@crowdstrike/glide-core	0.34.2, 0.34.3	Kernmodul
@crowdstrike/logscale-dashboard	1.205.2	Logging-Dashboard
@crowdstrike/logscale-file-editor	1.205.2	Datei-Editor
@crowdstrike/logscale-parser-edit	1.205.1, 1.205.2	Parser-Modul
@crowdstrike/logscale-search	1.205.2	Suchmodul
@crowdstrike/tailwind-toucan-base	5.0.2	CSS-Basis
@eslint-config-crowdstrike-node	4.0.3
@eslint-config-crowdstrike-node	4.0.4
@eslint-config-crowdstrike	11.0.2
@eslint-config-crowdstrike	11.0.3
@remark-preset-lint-crowdstrike	4.0.1
@remark-preset-lint-crowdstrike	4.0.2

‍

Die Kampagne, die von den Forschern auf Grund des YAML-Workflow Namens „Shai‑Hulud“ genannt wird, ist eine Fortsetzung der Attacken, die bereits das weitverbreitete tinycolor-Paket betrafen.

Wie der Angriff genau funktioniert:

Schadfunktion einschleusen: In die kompromittierten Pakete wurde ein manipuliertes bundle.js eingebunden.
Secret‑Scanner: Sobald das Skript ausgeführt wird, lädt es TruffleHog herunter – ein legitimes Open‑Source‑Tool, das eigentlich dazu dient, versehentlich veröffentlichte Secrets zu finden & von uns auch bei Pentests eingesetzt wird.
Trufflehog: Das Tool durchsucht die infizierten Instanzen nach API‑Tokens, GitHub‑Zugriffstoken, npm‑Tokens, Cloud‑Credentials (z. B. AWS‑Schlüssel) sowie viele weitere und validiert diese.
Persistenz via GitHub Actions: Anschließend wird eine nicht autorisierte GitHub‑Actions‑Workflow‑Datei (shai-hulud-workflow.yml) in das Ziel-Repository geschrieben; diese bleibt bestehen, selbst wenn das kompromittierte Paket entfernt wird. Beim nächsten Lauf der Pipeline kann der Workflow erneut ausgeführt und Daten exfiltriert werden!
Exfiltration: Alle gesammelten Informationen werden an einen fest codierten Webhook des Angreifers übermittelt.

‍

Auswirkungen und Empfehlungen:

CrowdStrike betont, dass die kompromittierten npm‑Pakete nicht Teil der Falcon‑Sensor Plattform sind und Kunden des Produkts nicht betroffen sind. Das Unternehmen entfernte die Pakete zügig aus dem öffentlichen Registry und rotierte seine Schlüssel.

‍

Für alle Organisationen gilt dennoch:

Umgehende Prüfung der CI/CD‑Pipelines und Entwickler‑Laptops: Installierte npm‑Pakete sollten auf Anzeichen der kompromittierten Versionen kontrolliert werden.
Rotation aller npm‑Tokens und anderen Secrets: Liegen unautorisierte Zugriffstoken vor, müssen diese sofort erneuert werden.
Log‑Monitoring: Verdächtige npm publish‑Ereignisse oder unerwartete Änderungen in GitHub‑Workflows sind ein Indikator für Persistenzversuche.

Warum proaktiver Schutz entscheidend ist

Einige dieser Pakete gehören zum beliebten Framework NativeScript oder zu Entwicklungs‑SDKs von Start‑ups. Diese lange Liste & die erneute Benennung des YAML-Workflows als „shai‑hulud“ zeigt, dass diese Kampagne weit über CrowdStrike hinausgeht & sich Lieferketten‑Angriffe mit bewusster Markenbildung professionalisieren.

Angreifer verwenden Security Tools wie TruffleHog& tarnen ihre Operationen in gängigen DevOps Workflows.

‍

Warten, bis ein Registry‑Betreiber kompromittierte Pakete entfernt, reicht nicht mehr aus.

Blacklens bietet hier einen mehrschichtigen Ansatz:

· Frühwarnsystem bei neuen Bedrohungen: Sie erfahren sofort von kritischen Vorfällen wie dem NPM-Supply-Chain-Angriff und können umgehend Gegenmaßnahmen einleiten, noch bevor das breite Publik werden Schaden anrichtet.

· Transparenz über Ihre Angriffsfläche: Durch kontinuierliches Attack Surface Management wissen Sie genau, welche Assets und Drittkomponenten Sie extern im Einsatz haben. Das ermöglicht eine schnelle Einschätzung, ob Ihr Unternehmen vom Ausfall oder Kompromittierung einer bestimmten Library betroffen ist.

· Effizientes Incident Response: Sollte dennoch ein Vorfall eintreten, liefert blacklens.io kontextreiche Informationen (z. B. betroffene Assets, Indicators of Compromise) auf einen Blick. Das spart wertvolle Zeit bei der Ursachenanalyse und Eindämmung.

· Vertrauensbildung und Compliance: Indem Sie zeigen, dass Sie Ihre Lieferkettenrisiken im Griff haben, stärken Sie das Vertrauen von Kunden und Partnern. Viele Branchenstandards und Regulatoren fordern heute ein Supply-Chain Risk Management – blacklens.io unterstützt Sie dabei mit den nötigen Nachweisen und Reports.

Fazit

Die fortgesetzten Angriffe auf die npm‑Lieferkette unterstreichen die Dringlichkeit proaktiver Sicherheitsmaßnahmen. Die kompromittierten CrowdStrike‑Pakete sind nur die Spitze des Eisbergs; die Shai‑Hulud‑Kampagne hat bereits hunderte weitere Pakete infiziert und nutzt DevOps‑Automatisierung, um sich zu verbreiten.

Unternehmen sollten ihre Software‑Lieferketten jetzt überprüfen, regelmäßig Secrets rotieren und Mechanismen etablieren, die verdächtige Aktivitäten frühzeitig erkennen. Mit Blacklens können Organisationen ihre digitale Resilienz stärken und solchen Supply‑Chain‑Angriffen zuvorkommen, bevor sie aktiv betroffen sind!

‍