Am 11. Mai hat eine Gruppe namens TeamPCP einen koordinierten Supply-Chain-Angriff auf das npm- und PyPI-Ökosystem gestartet. Das Ergebnis: über 170 npm-Pakete und 2 PyPI-Pakete kompromittiert, insgesamt 404 bösartige Versionen — alle innerhalb eines fünfstündigen Zeitfensters veröffentlicht.
Wer betroffen ist
Die Liste der betroffenen Pakete liest sich wie ein Who-is-Who der JavaScript-Infrastruktur: das gesamte TanStack-Router-Ökosystem (42 Pakete), Mistral AIs offizielle SDK-Suite (sowohl auf npm als auch auf PyPI), UiPaths Automatisierungs-Tooling (65 Pakete), OpenSearch und Guardrails AI.
Besonders brisant: Das @mistralai/mistralai-Paket ist der offizielle TypeScript-Client für die Mistral-AI-Plattform. Wer in den letzten Tagen ein Update gezogen hat, könnte betroffen sein.
Wie der Angriff funktioniert
Der Angreifer hat die legitimen Build-Scripts durch ein setup.mjs ersetzt, das über einen preinstall-Hook ausgeführt wird. Das Script lädt die Bun-Runtime herunter und startet den eigentlichen Payload — ein modulares Credential-Stealing-Framework mit spezialisierten Providern für AWS IAM, HashiCorp Vault, GitHub-Tokens, npm-Publish-Tokens und GitHub-Actions-OIDC-Tokens.
Die Malware wurde ‘Mini Shai Hulud’ getauft — nach dem Sandwurm aus Dune. Charmant.
Was du tun solltest
Falls du eines der betroffenen Pakete verwendest: sofort prüfen, welche Version installiert ist. Die manipulierten Versionen sind mittlerweile von npm und PyPI entfernt, aber wenn dein CI/CD-System oder dein lokaler Rechner sie zwischengespeichert hat, könnten deine Credentials bereits abgeflossen sein. GitHub-Tokens, AWS-Keys und npm-Publish-Tokens solltest du vorsorglich rotieren.
Meine Einschätzung
Supply-Chain-Angriffe auf das npm-Ökosystem sind nichts Neues — aber die Skalierung hier ist beeindruckend und beunruhigend. 404 bösartige Versionen in fünf Stunden, das spricht für hochgradig automatisiertes Tooling. Dass es ausgerechnet die SDKs eines großen KI-Anbieters trifft, macht es noch brisanter: Entwickler, die KI-Anwendungen bauen, sind offensichtlich ein attraktives Ziel.
Quellen: SecurityWeek · CSO Online · Wiz Blog · Tom’s Hardware