Mini Shai‑Hulud: Der Supply‑Chain‑Angriff auf TanStack, npm, PyPI und zwei OpenAI‑Geräte erklärt

Der TanStack‑Vorfall

Besonders stark betroffen war das TanStack‑Ökosystem, zu dem populäre JavaScript‑Bibliotheken für Web‑Apps gehören.

Innerhalb weniger Minuten veröffentlichten Angreifer 84 manipulierte Versionen in 42 @tanstack/*‑Paketen über die legitime Release‑Pipeline des Projekts.

Beim Installieren dieser Versionen wurde über npm‑Lifecycle‑Hooks schädlicher Code ausgeführt, der anschließend einen Credential‑Stealer herunterlud.

Sicherheitsforscher stellten später fest, dass sich der Angriff schnell ausweitete:

• über 170 Pakete auf npm und PyPI waren betroffen
• insgesamt 403 manipulierte Paketversionen wurden identifiziert
• auch Projekte rund um UiPath, Mistral AI, OpenSearch und Guardrails AI wurden getroffen

Damit zählt Mini Shai‑Hulud zu den größten Open‑Source‑Supply‑Chain‑Angriffen des Jahres 2026.

Wie die Malware funktionierte

Die manipulierten Pakete nutzten typische Package‑Manager‑Hooks wie preinstall, um beim Installieren automatisch Code auszuführen.

Sobald die Malware lief, versuchte sie, sensible Zugangsdaten aus Entwicklerumgebungen zu sammeln, darunter:

• GitHub Personal Access Tokens
• npm‑Publishing‑Tokens
• Cloud‑Credentials (AWS, Azure, GCP)
• Kubernetes‑Secrets
• HashiCorp‑Vault‑Tokens
• CI/CD‑Umgebungsvariablen
• SSH‑Schlüssel und Entwickler‑Konfigurationsdateien

Mit diesen gestohlenen Zugangsdaten konnten Angreifer weitere Repositories kompromittieren und zusätzliche infizierte Pakete veröffentlichen – wodurch sich der Wurm automatisch über Entwickler‑Infrastruktur weiterverbreiten konnte.

Wie zwei OpenAI‑Geräte betroffen waren

Im Verlauf der Kampagne wurden manipulierte TanStack‑Pakete auch auf zwei Geräten von OpenAI‑Mitarbeitern installiert.

Laut OpenAI kam es auf diesen Systemen zu unerlaubten Zugriffen und Aktivitäten zur Exfiltration von Zugangsdaten. Die interne Untersuchung ergab jedoch:

• keine Hinweise auf Zugriff auf Kundendaten
• nur begrenztes Credential‑Material wurde exponiert

Öffentliche Berichte nennen nicht genau, welche Paketversionen die Infektion auslösten oder wie die Installationskette im Detail verlief.

Warum OpenAI seine macOS‑Signatur aktualisierte

Als Reaktion auf den Vorfall aktualisierte OpenAI seine Hinweise für Organisationen, die OpenAI‑Apps unter macOS per Allowlist zulassen.

Das Unternehmen bestätigte, dass sich die Apple‑Developer‑Signatur seiner macOS‑Apps geändert hat. Administratoren müssen daher eventuell ihre Sicherheitsrichtlinien anpassen.

Wichtige Details:

• Die Apple‑Developer‑Team‑ID bleibt unverändert: 2DC432GLL2
• Allowlisting nach Team‑ID funktioniert meist weiterhin
• Richtlinien, die Zertifikats‑Fingerprints oder Organisationsnamen prüfen, müssen eventuell aktualisiert werden

Unternehmen sollten sicherstellen, dass ihre Sicherheitsrichtlinien der aktuellen Signatur von OpenAI‑Apps vertrauen.

Größere Auswirkungen auf npm und PyPI

Der Angriff verdeutlicht ein strukturelles Risiko moderner Softwareentwicklung: Automatisierte Release‑Pipelines sind selbst ein Angriffsziel geworden.

Mini Shai‑Hulud nutzte insbesondere:

• CI/CD‑Automatisierung
• vertrauenswürdige Publishing‑Identitäten
• die Vertrauensmodelle von Paket‑Registries

Dadurch konnten manipulierte Releases trotz gültiger Signaturen und Build‑Provenance scheinbar legitim erscheinen und sich schnell verbreiten.

Am Ende der größten Angriffswelle:

• waren mehr als 170 npm‑ und PyPI‑Pakete kompromittiert
• wurden Hunderte manipulierte Versionen veröffentlicht
• waren mehrere Entwickler‑Ökosysteme zeitweise betroffen

Was Entwickler und OpenAI‑Nutzer jetzt tun sollten

1. Abhängigkeiten aus dem Zeitraum prüfen

Überprüfen Sie Builds und Dependency‑Installationen rund um den 11.–12. Mai 2026, als die manipulierten TanStack‑Versionen veröffentlicht wurden.

2. Betroffene Pakete neu installieren

Wenn eine kompromittierte Version installiert wurde:

• Abhängigkeit entfernen
• eine bekannte saubere Version installieren
• Projekt aus vertrauenswürdigen Quellen neu bauen

3. Zugangsdaten rotieren

Da die Malware gezielt Credentials sammelt, sollten möglicherweise exponierte Secrets erneuert werden, z. B.:

• GitHub‑Tokens
• npm‑ oder PyPI‑Publish‑Tokens
• Cloud‑Provider‑Credentials
• CI/CD‑Secrets

4. CI/CD‑Pipelines überprüfen

Teams sollten ihre GitHub‑Actions‑Workflows und Publishing‑Pipelines prüfen und sicherstellen, dass OIDC‑Trusted‑Publishing‑Konfigurationen streng eingeschränkt sind.

5. macOS‑Allowlists aktualisieren

Organisationen mit OpenAI‑Desktop‑Tools sollten prüfen, ob ihre macOS‑Allowlists der aktuellen OpenAI‑Signatur vertrauen.

Was der Vorfall über moderne Supply‑Chain‑Angriffe zeigt

Mini Shai‑Hulud verdeutlicht eine Verschiebung in der Angriffsstrategie: Statt direkt Produktionssysteme zu attackieren, zielen Angreifer zunehmend auf Entwicklerinfrastruktur und Software‑Lieferketten.

Wenn Build‑Pipelines, Paket‑Registries oder Entwickler‑Workflows kompromittiert werden, kann Malware über eigentlich vertrauenswürdige Abhängigkeiten verteilt werden.

Der Vorfall zeigt außerdem eine neue Realität: Selbst Pakete mit gültigen Signaturen und verifizierter Build‑Provenance können kompromittiert sein, wenn die zugrunde liegende Build‑Pipeline manipuliert wurde.

Für Teams, die stark auf Open‑Source‑Dependencies setzen, werden deshalb Dinge wie Dependency‑Monitoring, isolierte Build‑Umgebungen und schnelle Credential‑Rotation zu zentralen Sicherheitsmaßnahmen.