Beobachtetes Signal · 19. Mai 2026 · Supply Chain Attack · Quelle: techcrunch · Relevanz: 3/5 · Sentiment: Negativ
Supply-Chain-Angriff kompromitiert Dutzende Open-Source-Pakete im npm-Ökosystem
Cybersicherheitsforscher haben einen massiven, laufenden Supply-Chain-Angriff aufgedeckt, bei dem Hunderte Open-Source-Paketversionen in Dutzenden Projekten kompromitiert wurden. Laut Angaben von StepSecurity und SafeDep kaperten Angreifer ein Entwicklerkonto und veröffentlichten innerhalb von rund 20 Minuten mehr als 630 schädliche Versionen über 317 npm-Pakete hinweg. Ziel dieser Updates ist es, Zugangsdaten – unter anderem aus Passwort-Managern – abzufangen und sich weiter zu verbreiten. Zu den betroffenen Projekten zählt Antv, eine mit Alibaba assoziierte Bibliothek; JFrog Security wies zudem darauf hin, dass schädliche Updates über GitHub ausgespielt wurden. Forscher bezeichnen die Kampagne als „Mini Shai-Hulud“. Sie reiht sich in eine frühere Welle ein, bei der bereits die TanStack-Bibliothek kompromitiert wurde und es zu Sicherheitsvorfällen bei zwei OpenAI-Mitarbeitern kam. Der Vorfall verdeutlicht die anhaltenden Risiken bei der Sicherheit von Open-Source-Abhängigkeiten sowie die rasanten Downstream-Expositionen für Entwickler und Organisationen, die kompromitierte Pakete einsetzen.
Die weitverbreitete Kompromittierung beliebter Open-Source-Abhängigkeiten birgt akute Risiken durch Credential-Theft und erzeugt sofortige Downstream-Expositionen für Entwickler und Unternehmen branchenübergreifend.
Marktsignale zu OpenAI in Echtzeit verfolgen
Polaris7 erfasst behördliche Registrierungen, Primärquellen, Führungswechsel und Deal-Aktivitäten rund um die Uhr. Erstellen Sie Ihren kostenlosen Explorer-Workspace, um automatisierte Executive Briefings zu erhalten.
Wichtigste Kernpunkte & Evidenz
- StepSecurity und SafeDep warnten vor einem massiven npm Supply-Chain-Angriff auf Open-Source-Projekte.
- Laut SafeDep veröffentlichten Angreifer in rund 20 Minuten über 630 schädliche Versionen in 317 Paketen.
- Das Ziel der Angreifer ist der Diebstahl von Zugangsdaten aus Passwort-Managern sowie die Verbreitung von Malware im Downstream.
- Zu den betroffenen Paketen gehört Antv von Alibaba; JFrog Security meldete schädliche Updates auf GitHub.
- Die Forscher taten die Kampagne als „Mini Shai-Hulud“ ab; eine frühere Welle hatte bereits TanStack und OpenAI-Mitarbeiter getroffen.
Verknüpfte Unternehmen
1 verknüpfte UnternehmenOntologie & Marktkonzepte
Verwandte Marktsignale & Trends
Aktuelle verifizierte Unternehmensentwicklungen und Deal-Aktivitäten in diesem Marktsegment.
144 Mastra npm-Pakete bei schwerem Supply-Chain-Angriff kompromittiert
Im Juni 2026 kaperten Angreifer ein npm-Entwicklerkonto (ehindero) und veröffentlichten massenhaft schadhafte Versionen von 144 Paketen im @mastra-Namensraum. Der als „easy-day-js“-Angriff bekannte Vorfall wurde von Sicherheitsforschern von JFrog, SafeDep, Socket und StepSecurity gemeinsam aufgedeckt. Da es sich bei Mastra um ein beliebtes Open-Source-JavaScript/TypeScript-Framework für die Entwicklung von KI-Anwendungen handelt, besteht die erhebliche Gefahr, dass Schadcode in zahlreiche nachgelagerte Projekte und AI Workloads eingeschleust wurde. Experten empfehlen sofortige automatisierte Abhängigkeitsprüfungen (Dependency Audits), das Entfernen oder Rollback betroffener Pakete, die Rotation von Anmeldedaten, die Durchsetzung der Zwei-Faktor-Authentifizierung für Publisher sowie kontinuierliches Monitoring mittels Supply-Chain-Scanning-Tools (z. B. JFrog Xray, Socket, SafeDep). Der Vorfall verdeutlicht, dass Kontozugriffe von Mitwirkenden eine kritische Angriffsfläche für npm darstellen, und unterstreicht die Notwendigkeit strengerer Registry-Kontrollen und Provenance-Prüfungen.
OpenAI: Datendiebstahl nach Supply-Chain-Angriff auf Open-Source-Projekt
OpenAI bestätigte am 14. Mai 2026, dass die Geräte von zwei Mitarbeitern von einem kürzlich erfolgten Supply-Chain-Angriff betroffen waren, bei dem ein kompromittiertes Open-Source-Projekt (TanStack) missbraucht wurde. Nach internen Untersuchungen erklärten die Verantwortlichen, dass Angreifer auf eine begrenzte Auswahl interner Quellcode-Repositories zugriffen und lediglich begrenzte Zugangsdaten entwendeten. Es gebe jedoch keine Anzeichen dafür, dass Nutzerdaten, Produktionssysteme oder geistiges Eigentum kompromittiert wurden. TanStack gab bekannt, dass Hacker innerhalb eines Zeitfensters von sechs Minuten 84 schädliche npm-Paketversionen veröffentlicht hatten, die darauf ausgelegt waren, Zugangsdaten zu stehlen und sich selbst zu verbreiten. Vorsichtshalber rotiert OpenAI digitale Zertifikate zur Produktsignierung, was von macOS-Nutzern ein App-Update erfordert. Der Vorfall fügt sich in eine breitere Welle von Lieferkettenkompromittierungen ein, die auf Entwicklertools abzielen.
Nordkoreanische Hacker kompromittieren über 140 npm-Pakete in AI-Dev-Tooling-Angriff
Microsoft hat einen Supply-Chain-Angriff auf das Mastra AI-Ökosystem der Hackergruppe Sapphire Sleet (auch bekannt als BlueNoroff) zugeordnet, bei dem über 140 npm-Pakete manipuliert wurden. Diese Pakete wurden von AI-Coding-Assistenten und Entwicklungswerkzeugen aktiv vorgeschlagen. Der Vorfall verdeutlicht eine neue Bedrohung: LLM-gestützte IDE-Assistenten wie Copilot oder Cursor können Abhängigkeiten vorschlagen oder automatisch installieren, wodurch Schadcode ohne klassisches Phishing direkt auf Entwickler-Rechner gelangt. Microsofts Details beschränken sich auf den staatlichen Akteur, die betroffenen Pakete und den Fokus auf KI-gestützte Workflows. Der Artikel beleuchtet Erkennungslücken – da npm audit auf bekannten CVEs basiert, Lockfiles erst nach der Installation greifen und LLMs die Paket-Herkunft nicht validieren. Als Gegenmaßnahme beschreibt er Sentinels SlopScan-Integration, die Paketnamen aus LLM-Ausgaben extrahiert und verdächtige Pakete vor der Installation blockiert. Veröffentlichungsdatum: 20. Juni 2026.
Marktsignale & Strategische Shifts in Echtzeit verfolgen
Erstellen Sie benutzerdefinierte Watchlists, um automatisierte, evidenzbasierte Executive Briefings zu erhalten, sobald wesentliche Signale oder Marktverschiebungen auftreten.