Der Mini‑Shai‑Hulud‑Angriff auf die npm‑Supply‑Chain erklärt

Open‑Source‑Software lebt von Vertrauen: Entwickler vertrauen Maintainer‑Accounts, automatisierten Build‑Pipelines und kryptografischen Signaturen. Genau dieses Vertrauen nutzte die Angriffskampagne Mini Shai‑Hulud aus – und zeigte, wie schnell sich ein Angriff in der modernen Software‑Supply‑Chain ausbreiten kann.

Im Mai 2026 startete die Hackergruppe TeamPCP eine koordinierte Kampagne gegen npm‑ und PyPI‑Pakete. Ziel war es, legitime Open‑Source‑Bibliotheken zu kompromittieren und manipulierte Versionen zu veröffentlichen, die für Entwickler wie reguläre Updates aussahen.

Ein besonders spektakulärer Vorfall ereignete sich am 19. Mai 2026: Angreifer veröffentlichten Berichten zufolge 637 bösartige Versionen über 323 npm‑Pakete innerhalb von etwa 22 Minuten, nachdem sie ein Maintainer‑Konto aus dem @antv‑Ökosystem kompromittiert hatten.

Der Angriff gilt als einer der technisch bemerkenswertesten Supply‑Chain‑Vorfälle im Open‑Source‑Bereich, weil die manipulierten Pakete gültige Build‑Provenienz und kryptografische Signaturen trugen – also genau jene Sicherheitsmechanismen, auf die Entwickler normalerweise vertrauen.

Was hinter der Mini‑Shai‑Hulud‑Kampagne steckt

Mini Shai‑Hulud war kein einzelner Angriff, sondern eine mehrstufige Kampagne gegen weit verbreitete Entwickler‑Ökosysteme.

Sicherheitsanalysen zufolge wurden mehr als 170 npm‑ und PyPI‑Pakete in 19 Namensräumen kompromittiert, wobei zwischen dem 10. und 12. Mai 2026 über 400 manipulierte Paketversionen veröffentlicht wurden.

Betroffen waren Bibliotheken und Tools aus mehreren populären Projekten, darunter:

• TanStack
• Mistral AI
• UiPath
• OpenSearch
• Guardrails AI

Viele dieser Komponenten werden in Web‑Apps, Backend‑Systemen oder Entwickler‑Tools eingesetzt und haben enorme Reichweite im Ökosystem.

Insgesamt hatten die betroffenen Pakete über 518 Millionen historische Downloads, was bedeutet, dass selbst eine kurze Kompromittierung ein enormes Risiko für die gesamte Entwicklerlandschaft darstellen kann.

Eine spätere Angriffswelle traf speziell das AntV‑Ökosystem für Datenvisualisierung, dessen Pakete zusammen rund 16 Millionen Downloads pro Woche erreichen.

Warum mehr als 600 bösartige Versionen in Minuten erschienen

Die Geschwindigkeit des Angriffs lag nicht an manuellen Hacks einzelner Projekte – sondern an missbrauchter Automatisierung.

Beim Angriff im Mai kompromittierten die Angreifer Berichten zufolge das npm‑Maintainer‑Konto des Pakets atool und nutzten dessen Berechtigungen, um automatisiert neue Versionen zahlreicher verwandter Pakete zu veröffentlichen.

Moderne Open‑Source‑Projekte veröffentlichen Updates häufig über automatisierte Skripte oder CI/CD‑Pipelines. Sobald ein Angreifer Zugriff auf ein Maintainer‑Konto hat, kann er:

• automatisierte Veröffentlichungen für viele Pakete gleichzeitig auslösen
• Versionsnummern schnell erhöhen
• Releases parallel publizieren

So konnten innerhalb weniger Minuten hundertfach manipulierte Artefakte im npm‑Registry erscheinen, ohne jedes Paket einzeln kompromittieren zu müssen.

Missbrauch von GitHub Actions und OIDC‑Tokens

Ein besonders technischer Aspekt des Angriffs betrifft moderne "Trusted Publishing"‑Workflows.

Viele Projekte nutzen inzwischen GitHub Actions in Kombination mit OpenID Connect (OIDC). Dabei erhält eine Build‑Pipeline kurzfristige Identitäts‑Tokens, mit denen sie Pakete veröffentlichen kann – ohne langfristige Zugangsdaten speichern zu müssen.

Im Rahmen der Mini‑Shai‑Hulud‑Kampagne gelang es Angreifern jedoch, diese Infrastruktur zu unterlaufen. Berichte zeigen, dass sie:

• GitHub‑Actions‑Workflows manipulierten oder übernahmen
• kurzlebige OIDC‑Tokens aus Runner‑Umgebungen extrahierten
• diese Tokens nutzten, um Veröffentlichungen zu authentifizieren

Da die Veröffentlichung anschließend durch die legitime CI‑Pipeline selbst erfolgte, wirkten die Pakete vollständig authentisch.

Damit wurde eine wichtige Sicherheitsannahme untergraben: Selbst wenn keine dauerhaften Zugangsdaten gespeichert sind, bleibt ein System verwundbar, wenn Angreifer die Build‑Pipeline kontrollieren.

Wie Malware plötzlich „offiziell signiert“ war

Moderne Software‑Supply‑Chains setzen zunehmend auf Systeme wie Sigstore und SLSA‑Provenienz. Diese erzeugen kryptografische Nachweise darüber, welche Pipeline ein Softwareartefakt gebaut hat.

Im Mini‑Shai‑Hulud‑Fall trugen viele der manipulierten Pakete gültige SLSA‑Build‑Level‑3‑Provenienz und echte Signaturen.

Das lag daran, dass Angreifer die legitime Identität der CI‑Umgebung nutzten, um echte Signaturzertifikate zu erhalten.

Für Entwickler sah das Ergebnis daher völlig legitim aus:

• gültige Signatur
• nachvollziehbare Build‑Provenienz
• Veröffentlichung durch die offizielle Pipeline

Der Angriff zeigte damit ein grundlegendes Problem: Wenn die vertrauenswürdige Build‑Umgebung kompromittiert ist, können auch signierte Artefakte bösartig sein.

Welche Daten die Malware stehlen sollte

Der Schadcode in den manipulierten Paketen zielte vor allem auf sensible Entwickler‑ und Infrastruktur‑Zugangsdaten ab.

Berichten zufolge versuchte die Malware unter anderem zu stehlen:

• CI/CD‑Tokens und Pipeline‑Zugangsdaten
• Cloud‑Provider‑Schlüssel
• GitHub‑ oder npm‑Access‑Tokens
• SSH‑Schlüssel
• weitere Entwickler‑Secrets

Durch diese Daten konnten Angreifer zusätzliche Repositories oder Build‑Pipelines kompromittieren – wodurch sich der Angriff wie ein Wurm weiter ausbreiten konnte.

Warum dieser Angriff besonders gefährlich ist

Der Mini‑Shai‑Hulud‑Vorfall zeigt mehrere strukturelle Risiken moderner Software‑Ökosysteme.

Vertrauenswürdige Infrastruktur kann selbst zum Angriffswerkzeug werden. Selbst starke Mechanismen wie OIDC‑Publishing oder signierte Builds schützen nicht, wenn die Pipeline selbst kompromittiert wird.

Ein einzelnes kompromittiertes Konto kann hunderte Pakete betreffen. Der AntV‑Vorfall demonstrierte, wie ein Maintainer‑Account ausreicht, um in Minuten hunderte Releases zu veröffentlichen.

Beliebte Bibliotheken vergrößern den Schaden. Viele npm‑Pakete sind Abhängigkeiten anderer Pakete. Ein manipuliertes Update kann sich dadurch über transitive Dependencies auf tausende Projekte ausbreiten.

Die Kampagne entwickelte sich über mehrere Wellen. Sicherheitsforscher verbinden Mini Shai‑Hulud mit einer breiteren TeamPCP‑Kampagne, die unter anderem auch Tools wie das Checkmarx‑Jenkins‑Plugin kompromittierte.

Da die Angriffstechniken auf verbreiteten CI/CD‑Mustern basieren, warnen Experten davor, dass Nachahmer‑Angriffe oder Varianten wahrscheinlich sind.

Die wichtigste Lehre für Entwickler

Der Mini‑Shai‑Hulud‑Vorfall zeigt eine zentrale Schwachstelle moderner Software‑Supply‑Chains: Kryptografische Signaturen und Build‑Provenienz garantieren nur dann Sicherheit, wenn auch die zugrunde liegende Infrastruktur vertrauenswürdig bleibt.

Deshalb rücken inzwischen andere Schutzmaßnahmen stärker in den Fokus, etwa:

• Isolation von CI‑Runnern
• strengere Workflow‑Berechtigungen
• Monitoring ungewöhnlicher Release‑Aktivitäten
• kontinuierliche Abhängigkeits‑Audits

Je stärker Softwareentwicklung automatisiert wird, desto wichtiger wird die Sicherheit von CI‑Infrastruktur und Entwickleridentitäten. Der Mini‑Shai‑Hulud‑Angriff hat gezeigt, wie schnell dieses Vertrauen ausgenutzt werden kann – und wie weitreichend die Folgen sein können.