Angreifer missbrauchen vertrauenswürdige Entwicklertools, um Quellcode und Geheimnisse zu stehlen

Technischer Hintergrund

Beide Kampagnen verdeutlichen, wie moderne Software-Lieferketten zu hochrangigen Zielen für nach Zugangsdaten suchende Bedrohungsakteure geworden sind. Angreifer missbrauchen vertrauenswürdige Entwicklerwerkzeuge Der Angreifer stahl zunächst einen persönlichen Zugriffstoken eines Beitragsautors im Rahmen eines früheren Vorfalls in der Lieferkette.

Mit diesem Token platzierte er einen versteckten, isolierten Commit im offiziellen GitHub-Repository von nrwl/nx, der eine verschlüsselte JavaScript-Payload von 498 KB enthielt.

Anschließend veröffentlichte er die schädliche Erweiterung im VS Code Marketplace unter Verwendung gestohlener Veröffentlichungsdaten und integrierte 2.777 Bytes injizierten Codes in die Hauptdatei der Erweiterung.

Sobald ein Entwickler eine Arbeitsumgebung öffnete,

Sobald ein Entwickler eine Arbeitsumgebung öffnete, in der die kompromittierte Erweiterung installiert war, wurde die versteckte Payload im Hintergrund stillschweigend abgerufen und ausgeführt.

Die Payload startete sechs Module zur Sammlung von Zugangsdaten, die sich auf GitHub-Tokens, AWS-Zugangsdaten, HashiCorp Vault-Geheimnisse, Kubernetes-Konfigurationen, npm-Tokens und 1Password-Safe spezialisierten.

Zudem installierte sie einen Python-Backdoor auf macOS, der die GitHub Search API als sicheren Übertragungspunkt für signierte Fernbefehle nutzte, wodurch eine Erkennung durch herkömmliche Firewall-Überwachung erschwert wurde. Massives Backdoor-Einbringen durch Megalodon Die Megalodon-Kampagne verfolgte einen anderen, aber ebenso schädlichen Ansatz.

Einordnung fuer Autofahrer

Unter Verwendung von Einweg-GitHub-Konten mit gefälschten Autorennamen wie „build-bot" und „auto-ci" schoben die Angreifer bösartige Workflow-Dateien ein, die als Routine-CI-Wartungscommits getarnt waren.

Die Workflow-Namen „SysDiag" und „Optimize-Build" waren so konzipiert, dass sie sich wie Standard-Automatisierungsaufgaben ausgaben und Entwickler täuschten, die ihre Repository-Geschichte oberflächlich überprüften. Die Kampagne setzte zwei Payload-Varianten ein.

Die Massenversion fügte einen neuen Workflow hinzu, der bei jedem Push und Pull-Request ausgelöst wurde, während die gezielte Version bestehende Workflows durch Backdoors ersetzte, die der Angreifer auf Abruf über die GitHub-API auslösen konnte.

Technischer Hintergrund

Ein npm-Paket, „@tiledesk/tiledesk-server" in den Versionen 2.18.6 bis 2.18.12, enthielt die gezielte Variante und wurde vom legitimen Maintainer aus dem bereits kompromittierten Repository – ohne dessen Wissen – veröffentlicht. Die CISA fordert alle betroffenen Organisationen auf, Workflow-Dateien auf verdchtige Commits nach dem 18.

Mai 2026 zu berprfen, wobei besonderes Augenmerk auf nderungen durch automatisierte Konten zu legen ist. Jede Organisation, die das kompromittierte Nx Console-Erweiterung ausgefhrt hat oder unbefugte Workflow-nderungen festgestellt hat, sollte eine vollstndige forensische Prfung der CI/CD-Logs und der Cloud-Audit-Trails durchfhren.

Alle Zugangsdaten, die fr Pipelines verfgbar sind, mssen rotiert werden, einschlielich API-Schlsseln, Cloud-Anbieter-Token fr AWS, GCP und Azure, SSH-Schlsseln, Docker- und Kubernetes-Token sowie Entwickler-Geheimnissen.

Die CISA empfiehlt zudem, mindestens drei Stunden zu warten, bevor neue Pakete abgerufen werden, Abhngigkeiten auf vertrauenswrdige Versionen zu fixieren und Pakete ausschlielich aus verifizierten Repositories zu beziehen. Indikatoren fr Kompromittierungen (IoCs):