Ein Hacker greift über infizierte Python-Pakete sensible Entwicklerdaten an.
Ein Hacker greift über infizierte Python-Pakete sensible Entwicklerdaten an.

Wissenschaft Von June

Ein automatisierter Datendiebstahl über vertraute Entwickler-Tools gibt einem Kollegen aus der Tech-Szene etwas gemeinsamen Kontext.

19 Python-Pakete von Schadsoftware infiziert Handlungsfluss und Kernfakten

Sicherheitsforscher von Socket haben eine neue Welle des Shai-Hulud-Wurms entdeckt, der 19 beliebte Python-Pakete auf der Plattform PyPI infiziert hat. Die betroffenen Pakete, darunter populäre Tools aus der Bioinformatik wie Dynamo, Spateo und Napari-UFISH, wurden bereits hunderttausendfach heruntergeladen. Die Angreifer nutzten einen kompromittierten Paketverwalter, um bösartigen Code in legitime Software einzuschleusen.

Die Schadsoftware nutzt einen zweistufigen Mechanismus: Bei der Installation wird eine manipulierte .pth-Datei abgelegt, die beim nächsten Start der Python-Umgebung eine JavaScript-Komponente über die Laufzeitumgebung Bun nachlädt. Dadurch bleibt die Malware zunächst inaktiv und wird erst später ausgeführt – etwa beim Testen, Bauen oder Ausführen von Code.

Ziel der Attacke ist der systematische Diebstahl sensibler Daten von Entwickler- und Build-Systemen. Dazu gehören GitHub-Token, Cloud-Zugänge (AWS, GCP, Azure), Kubernetes-Konfigurationen, lokale SSH-Schlüssel, Docker-Einstellungen und Umgebungsvariablen aus .env-Dateien. Die gestohlenen Daten werden über automatisierte GitHub-Repositories und verschleierte HTTPS-Anfragen an die Angreifer übermittelt. Zur Persistenz nutzt die Malware systemd-Dienste unter Linux und LaunchAgents auf macOS.

Fakten

  • Die Sicherheitsfirma Socket entdeckte 19 infizierte Python-Pakete auf PyPI, die zusammen hunderttausendfach heruntergeladen wurden.
  • Die betroffenen Pakete enthalten bösartige .pth- und JavaScript-Dateien, die bei der Python-Ausführung sensible Daten stehlen.
  • Gestohlene Daten umfassen GitHub-Token, Cloud-Zugänge, SSH-Schlüssel, Docker-Konfigurationen und Umgebungsvariablen aus .env-Dateien.
  • Die Malware nutzt GitHub-Repositories und verschleierte HTTPS-Anfragen an Anthropic-APIs, um Daten an die Angreifer zu senden.
  • Zur Persistenz nutzt die Schadsoftware systemd-Dienste unter Linux und LaunchAgents auf macOS.

Visuelle Nachrichtenerklärung von Canto. KI-Werkzeuge können die Produktion unterstützen. Redaktionelle Richtlinien

Verwandte Nachrichten