Es verursachte Abstürze von Millionen von Geräten: Neue Bedrohung in CrowdStrike

Das Cybersicherheitsunternehmen CrowdStrike sieht sich einer neuen Malware-Bedrohung gegenüber, die sich dieses Mal selbst repliziert, nachdem es vor einem Jahr zu einem weltweiten Computerausfall kam, der Millionen von Geräten betraf.

Einem Bericht des Cybersicherheitsjournalisten Brian Krebs zufolge wurden rund 25 Code-Pakete durch eine neue Schadsoftware namens Shai-Hulud kompromittiert. Die Software infiltriert die Computer der Entwickler über den Node Package Manager (NPM), ein weit verbreitetes JavaScript-Software-Repository für Softwaremodule und Code-Tools.

Sein Name stammt aus der Science-Fiction

Shai-Hulud gibt Anmeldeinformationen von infizierten Computern in einer öffentlich zugänglichen Datei auf GitHub frei. Die Malware hat ihren Namen vom legendären Sandwurm aus Frank Herberts Science-Fiction-Roman Dune aus dem Jahr 1965.

Forscher erklären die Gefahr von Shai-Hulud wie folgt: Wenn ein Entwickler ein infiziertes Modul von NPM installiert, findet der Wurm Zugriffstoken auf dem System und infiziert 20 beliebte Pakete, die mit dem Konto des Benutzers verknüpft sind.

Dies kann einen Dominoeffekt erzeugen, der sich auf alle Module des Paketbesitzers auswirken kann.

DER ERSTE SEINER ART

Im Gespräch mit Futurism beschreibt der Softwareentwickler von ReversingLabs, Karlo Zanki, Shai-Hulud als den „ersten selbstreplizierenden Wurm seiner Art“.

Laut Krebs waren bisher mindestens 187 NPM-Module betroffen, von denen 25 von CrowdStrike verwaltet werden.

Interessanterweise geht der Wurm jedoch davon aus, dass das Opfer Linux oder Mac OS ausführt, und umgeht Windows-Computer.

Seine Ausbreitung hat sich verlangsamt

CrowdStrike und NPM verlangsamten die Verbreitung des Wurms durch die schnelle Entfernung infizierter Pakete. „Nachdem wir die schädlichen Pakete in den öffentlichen NPM-Protokollen identifiziert hatten, entfernten wir sie schnell und rotierten unsere Schlüssel“, sagte ein Vertreter von CrowdStrike gegenüber The Hacker News.

Der Forscher Charlie Eriksen von der Sicherheitsfirma Aikido sagte, man müsse sich den Angriff als „lebendiges Ding“ vorstellen:

„Denn es kann eine Zeit lang inaktiv bleiben, und erst wenn eine Person versehentlich infiziert wird, beginnt die Ausbreitung erneut. Insbesondere, wenn es zu einem Superspreader-Angriff kommt.“