Alarm durch neue Shai-Hulud-Welle: Ein infizierter Rechner kann Software weltweit gefährden

Dortmund, 10. August 2026. "Der potenzielle Schaden ist groß", bewertet Heise Online. Angesichts der Gefahren ist der Vorfall zurückhaltend formuliert. Es beginnt unbemerkt mit einem alltäglichen Szenario: Ein Entwickler installiert eine benötigte Softwarebibliothek. Das Paket stammt scheinbar aus einer vertrauten Quelle, der Build läuft durch, die Anwendung funktioniert. Im Hintergrund kann jedoch ein Wurm bereits Zugangsdaten kopieren - und damit den Weg zu Code-Repositories, Cloud-Infrastruktur, automatisierten Build-Prozessen und weiteren Softwarepaketen öffnen.

Die neue Welle des Shai-Hulud-Wurms im npm-Ökosystem sorgt bei Softwareentwicklern in diesen Tagen für eine einzigartige Nervosität. Seit dem 4. August wurden nach derzeitigen Analysen mehr als 440 Pakete infiziert, darunter verbreitete Bibliotheken wie keyv, cacheable und flat-cache mit zusammen über zwei Milliarden Downloads pro Monat. Für Unternehmen entsteht die Gefahr nicht allein durch eine fehlerhafte Softwarekomponente: Der Schadcode kann Zugangsdaten aus Entwicklungs- und Build-Umgebungen entwenden und sich mit ihnen selbstständig weiterverbreiten.

Die Sicherheitsexperten der Dormunder Cybersense GmbH stellen ab sofort eine speziell auf diese Angriffsfamilie zugeschnittene Früherkennung bereit. Sie macht verdächtige Aktivitäten auf Entwicklerrechnern und in CI/CD-Workflows - also den automatisierten Prozessen zum Bauen, Testen und Ausliefern von Software - unmittelbar sichtbar.

Wenn ein Softwarepaket zur Eintrittskarte wird

Moderne Unternehmen greifen bei der Softwareentwicklung auf zahlreiche externe Komponenten zurück. Vor allem im JavaScript-Umfeld werden solche Pakete millionenfach verwendet. Wird eines dieser Pakete manipuliert, kann der Schadcode bei einer regulären Installation mit ausgeführt werden.

Der Unterschied zu vielen klassischen Angriffen: Shai-Hulud tarnt sich nicht als auffälliger E-Mail-Anhang oder als offensichtlich schädliches Programm. Der Wurm bewegt sich entlang normaler Entwicklungsabläufe und Lieferketten. Er sucht gezielt nach npm- und GitHub-Tokens, Cloud-Zugangsdaten, SSH-Schlüsseln, Kubernetes- und Vault-Zugängen, .env-Dateien sowie zunehmend auch Zugängen aus KI-Entwicklungswerkzeugen.

Für Geschäftsführungen, IT- und Sicherheitsverantwortliche bedeutet das: Ein einzelner unerkannter Befall kann weit über den betroffenen Arbeitsplatz hinausreichen. Werden Zugangsdaten gestohlen, können Angreifer Quellcode einsehen oder verändern, weitere Pakete infizieren, Cloud-Ressourcen missbrauchen und Build- oder Auslieferungsprozesse gefährden. Ein lokaler Vorfall wird so zum Risiko für den laufenden Geschäftsbetrieb und die gesamte digitale Lieferkette.

Der Wurm verrät sich beim Zugriff

Cybersense setzt mit der Früherkennung an, wenn ein Wurm oder Angreifer nach verwertbaren Zugangsdaten sucht. Die Deception-Plattform verteilt dafür passive Köder, sogenannte Lures oder Breadcrumbs, auf Entwicklerrechnern, in Benutzerprofilen und in CI/CD-Workflows. Diese bilden beispielsweise scheinbare Tokens, Zertifikate, Cloud-Zugangsdaten oder Konfigurationsspuren nach, besitzen jedoch keine produktiven Berechtigungen.

Versucht der Schadcode, einen solchen Köder zu nutzen, entsteht ein Kontakt mit einer überwachten Decoy-Umgebung. Dieser Vorgang löst unmittelbar einen Alarm aus und kann anhand einer eindeutigen Köder-Kennung dem betroffenen Rechner, Benutzerprofil oder Workflow zugeordnet werden. Laut Cybersense ist dafür keine zusätzliche Agenten-Software auf den Endgeräten erforderlich.

"Supply-Chain-Würmer wie Shai-Hulud umgehen die üblichen Schutzschichten, weil sie sich als normaler Teil der Entwicklungsarbeit tarnen", sagt Ralf Sturhan, Geschäftsführer der Cybersense GmbH. "Genau für solche Fälle ist Deception gemacht: Der Wurm verrät sich in dem Moment, in dem er zugreift. Unternehmen erfahren nicht Wochen später aus der Presse von einem Befall, sondern in dem Augenblick, in dem er passiert - inklusive des Systems, auf dem er begonnen hat."

Was Unternehmen jetzt tun sollten

Unternehmen sollten kurzfristig prüfen, ob sie betroffene Paketversionen einsetzen, und ihre Lockfiles, Build-Logs sowie Installations-Hooks untersuchen. Bei einem möglichen Befall müssen npm-, GitHub-, Cloud-, SSH-, Kubernetes-, Vault- und CI/CD-Zugangsdaten bewertet und gegebenenfalls rotiert werden. Entwicklerrechner und Build-Runner sollten dabei als potenziell kompromittierte Systeme behandelt werden.

Cybersense empfiehlt außerdem, ungewöhnliche Token-Nutzung, ausgehende Verbindungen und automatisierte Veröffentlichungen verstärkt zu überwachen. Deception ergänzt dabei bestehende Sicherheitsmaßnahmen wie Dependency Governance, Least Privilege und Incident Response - insbesondere dort, wo Prävention allein einen bereits laufenden Angriff nicht sichtbar macht.