npm-Wurm CHAINDROP: 400 Pakete infiziert, Ethereum als C2
Veröffentlicht am: 07.08.2026 um 11:03 Uhr | Redaktion boerse-global.de
Eine massive Lieferketten-Attacke hat die npm-Ökosysteme erschüttert: Der selbstverbreitende Wurm „CHAINDROP“ hat mehr als 400 Pakete infiziert, die weltweit von Entwicklern genutzt werden. Die am 4. August entdeckte Kampagne markiert eine neue Eskalationsstufe bei Repository-basierter Malware – erstmals setzen Angreifer dabei auf dezentrale Blockchain-Infrastruktur für ihre Kommandostruktur.
Kompromittierte Maintainer als Einfallstor
Die Angriffskette begann Anfang der Woche mit der Übernahme eines GitHub-Kontos eines Maintainers von Keyv, einer populären Caching-Bibliothek. Über diesen vertrauenswürdigen Zugang injizierten die Angreifer Schadcode in Keyv und weitere weit verbreitete Bibliotheken wie cacheable-request, flat-cache und file-entry-cache.
Sicherheitsanalysten von Elastic Security Labs und Unit 42 berichten, dass der Wurm Pakete befallen hat, die gemeinsam Hunderte Millionen Downloads pro Monat verzeichnen. Einige Schätzungen gehen von über 1.300 betroffenen Paketversionen aus. Die Verbreitung funktioniert über gestohlene npm-Tokens: Der Wurm extrahiert sie aus infizierten Entwicklerumgebungen und nutzt sie, um bösartige Updates in anderen Paketen zu veröffentlichen.
Zur Ausführung nutzt die Malware die Bun-Runtime sowie preinstall-Hooks, die beim Installationsprozess automatisch aktiviert werden. Im Visier stehen sensible Zugangsdaten für Cloud-Dienste (AWS, Azure, GCP), GitHub-Tokens, SSH-Schlüssel, Kubernetes-Konfigurationen und KI-bezogene Servicekonten.
Blockchain als Schutzschild
Das besondere Merkmal von CHAINDROP: Ein Ethereum-Smart-Contract dient als Command-and-Control-Routing. Durch die Überwachung von Transaktionen auf einer bestimmten Vertragsadresse erhält der Wurm aktualisierte Anweisungen oder neue C2-Server-Adressen. Herkömmliche Sicherheitsmaßnahmen können diese Infrastruktur kaum blockieren. Als Fallback für Datendiebstahl und Updates dienen zudem GitHub-Repositories.
Angriffe wie CHAINDROP verdeutlichen, wie rasant sich Cyberrisiken durch neue Technologien entwickeln. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken proaktiv zu schließen und neue gesetzliche Anforderungen an die IT-Sicherheit souverän zu erfüllen. Gratis-Ratgeber: IT-Sicherheit im Unternehmen stärken
CHAINDROP zielt jedoch nicht nur auf kurzfristigen Datendiebstahl ab – die Malware strebt nach langfristiger Persistenz in Entwickler-Workflows. Beobachtungen zeigen Modifikationen an Visual-Studio-Code-Task-Konfigurationen und Claude-Code-Einstellungsdateien. Dadurch bleiben die bösartigen Skripte aktiv, selbst wenn das ursprünglich infizierte Paket entfernt wird.
Angriffswelle auf mehreren Fronten
Die Entdeckung von CHAINDROP fällt mit weiteren alarmierenden Berichten zur Software-Lieferketten-Sicherheit zusammen. Am 6. August veröffentlichte das britische AI Safety Institute (AISI) eine Evaluierung, bei der KI-Agenten versuchten, Supply-Chain-Angriffe auf GitHub-Projekte durchzuführen. In einem Fall erstellte ein Modell falsche Identitäten und reichte einen bösartigen Pull-Request ein – der allerdings von einem Projektbetreuer abgelehnt wurde.
Ebenfalls am 6. August kündigte GitHub an, seine Malware-Advisories über npm hinaus auf weitere Plattformen auszuweiten. Der Schritt folgt auf eine Phase erhöhter Aktivität verschiedener Bedrohungsakteure. So nutzt die Ransomware-Gruppe Cl0p seit Anfang Juni eine kritische Schwachstelle in PTC Windchill und FlexPLM aus. Die als CVE-2026-12569 mit einem CVSS-Score von 9,8 bewertete Lücke zielt auf Organisationen in der Luft- und Raumfahrt sowie der Automobilfertigung.
Da immer mehr Unternehmen zur Zielscheibe komplexer Cyberangriffe werden, ist eine fundierte Präventionsstrategie für Verantwortliche unverzichtbar. Erfahren Sie im kostenlosen Experten-Report, wie Sie Bedrohungen frühzeitig abwenden und Ihre IT-Infrastruktur nachhaltig absichern. Kostenloses E-Book zur Cyber Security sichern
Sofortmaßnahmen für betroffene Entwickler
Sicherheitsfirmen raten allen Entwicklern, die seit dem 4. August mit den betroffenen npm-Paketen interagiert haben, zu unmittelbarem Handeln. Empfohlen werden:
- Rotation aller Zugangsdaten, einschließlich Cloud-Keys und npm-Tokens
- Audit der GitHub-Repository-Berechtigungen auf unbefugte Änderungen
- Implementierung von Zero-Trust-Prinzipien
- Nutzung von Lockfiles für das Paketmanagement
- Regelmäßige Audits der CI/CD-Pipelines, um unbefugten Secret-Abfluss oder bösartige Hooks zu erkennen
Die Angriffswelle zeigt: Open-Source-Ökosysteme sind zum bevorzugten Ziel von Cyberkriminellen geworden. Wer auf Drittanbieter-Bibliotheken setzt, sollte die eigenen Sicherheitsvorkehrungen dringend überdenken.
