Eine neue, wurmartige Schadsoftware schleust sich in Open-Source-Pakete ein, verbreitet sich selbstständig durch Entwicklungsumgebungen und löscht gezielt Systeme im Iran – ein Angriff, der die Verwundbarkeit moderner Software-Lieferketten auf beunruhigende Weise offenlegt.
Selbst verbreitende Malware kompromittiert Open-Source-Pakete und löscht Systeme
Sicherheitsforscher haben eine neue Angriffskampagne identifiziert, bei der sich selbst replizierende Malware gezielt in Open-Source-Softwarepakete einschleust. Die Schadsoftware, die der Gruppe TeamPCP zugeordnet wird, verbreitet sich wurmartig durch Entwicklungsumgebungen und hat offenbar auch Systeme im Iran vollständig gelöscht.
Angriffsmuster: Der Wurm im Paketmanager
Der Angriff folgt einem klassischen Supply-Chain-Muster, das jedoch durch eine selbst propagierende Komponente erheblich an Gefährlichkeit gewinnt. Die Malware infiziert zunächst ein legitimes Open-Source-Paket und nutzt anschließend die Entwicklungsumgebung des jeweiligen Rechners, um sich auf weitere Pakete und Repositories auszubreiten. Damit sind nicht nur die ursprünglich betroffenen Projekte kompromittiert – über Pull-Requests, geteilte Codebasen oder gemeinsame Infrastruktur kann die Infektion rasch auf andere Entwicklerteams und deren Produkte übergreifen.
Dieser Mechanismus unterscheidet den aktuellen Angriff von üblichen Supply-Chain-Vorfällen: Durch die aktive Selbstverbreitung multipliziert sich der potenzielle Schaden erheblich – ohne dass Angreifer auf passive Download-Zahlen angewiesen sind.
Destruktive Payload mit geopolitischer Dimension
Neben der reinen Verbreitung enthält die Malware eine destruktive Komponente: Auf Systemen mit iranischen IP-Adressen oder entsprechenden Systemkonfigurationen wurden Festplatten gezielt gelöscht. Der Angriff weist damit eine geopolitische Ausrichtung auf, wie sie in staatlich motivierten Operationen oder hacktivistischen Kampagnen beobachtet wird. Eine eindeutige Attribution zu einem staatlichen Akteur steht laut den vorliegenden Berichten jedoch noch aus.
Die Kombination aus Spionagepotenzial, Supply-Chain-Kompromittierung und gezielter Datenvernichtung deutet auf einen mehrstufigen Angriff hin, der verschiedene Ziele gleichzeitig verfolgt.
Risiko für Entwicklungsorganisationen
Besonders gefährdet sind Unternehmen, die stark auf Open-Source-Komponenten setzen und deren Entwickler Pakete aus öffentlichen Registries wie npm, PyPI oder ähnlichen Quellen direkt in ihre lokalen Umgebungen einbinden. Der Wurm kann über eine einzige infizierte Abhängigkeit die gesamte Entwicklungsinfrastruktur traversieren – inklusive privater interner Repositories und CI/CD-Pipelines.
Sicherheitsexperten empfehlen konkret, folgende Anzeichen einer Infektion aktiv zu prüfen:
- Unerwartete Schreibvorgänge in Package-Verzeichnissen
- Plötzlich veränderte Skripte in bekannten Paketen
- Netzwerkverbindungen zu unbekannten externen Hosts aus Entwicklermaschinen
Einordnung für deutsche Unternehmen
Für Softwareunternehmen und IT-Abteilungen in Deutschland ist dieser Vorfall ein konkreter Anlass, die Sicherheit ihrer Software-Lieferketten zu überprüfen. Die BSI-Empfehlungen zur Absicherung von Entwicklungsumgebungen gewinnen durch Angriffe dieser Art an praktischer Dringlichkeit. Unternehmen sollten:
- Paketabhängigkeiten systematisch mit Software Composition Analysis (SCA) überwachen
- Checksums und Signaturen für kritische Pakete verifizieren
- Den Zugriff von Entwicklermaschinen auf interne Repositories durch strikte Netzwerksegmentierung begrenzen
Je länger eine Infektion unentdeckt bleibt, desto größer der potenzielle Schaden – an der eigenen Codebasis und an der von Kunden.
Quelle: Ars Technica – Self-propagating malware poisons open-source software and wipes Iran-based machines
