Supply‑Chain‑Angriff auf Nx Console: Was am 18. Mai 2026 passiert ist
Am 18. Mai 2026 wurde eine manipulierte Version der VS‑Code‑Extension Nx Console (v18.95.0) kurzzeitig in offiziellen Extension‑Marktplätzen veröffentlicht und lud Malware nach, die Entwickler‑Credentials stahl.
What happened in the Nx Console VS Code extension supply chain attack on May 18, how did the compromised version 18.95.0 steal developer creA malicious release of the Nx Console extension briefly infiltrated VS Code marketplaces and attempted to harvest developer credentials.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the Nx Console VS Code extension supply chain attack on May 18, how did the compromised version 18.95.0 steal developer cre. Article summary: On May 18, 2026, attackers briefly published a malicious Nx Console VS Code extension version, 18.95.0, that fetched a credential-stealing payload, exfiltrated developer and cloud secrets, and installed persistence artif. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "# Targeting 2 Million Developers: Malicious Nx Console Extension Hijacks VS Code Marketplace. Nx Console Extension Supply Chain Attack VS Code Marketplace Malware 2026. A brief but" source context "Targeting 2 Million Developers: Malicious Nx Console Extension ..." Reference image 2: visual subject "# Nx Console
openai.com
Kurzüberblick
Am 18. Mai 2026 tauchte für kurze Zeit eine manipulierte Version der beliebten Nx Console‑Extension für Visual Studio Code in offiziellen Extension‑Marktplätzen auf. Die kompromittierte Version 18.95.0 verwandelte das Entwickler‑Tool in einen Credential‑Stealer, der sensible Zugangsdaten aus Entwicklerumgebungen sammelte und an Angreifer übermittelte.
Die betroffene Version blieb nur wenige Minuten online – doch da Nx Console über zwei Millionen Installationen hat, löste der Vorfall große Aufmerksamkeit in der Entwickler‑ und Security‑Community aus. Schon ein kurzer Zeitraum kann ausreichen, um wertvolle Tokens und Cloud‑Credentials zu stehlen.
Was genau am 18. Mai 2026 passierte
Angreifer veröffentlichten eine manipulierte Version der Extension nrwl.angular-console (Nx Console) in offiziellen Extension‑Registries.
Laut Sicherheitsmeldung der Maintainer:
Version 18.95.0 wurde um 12:30 UTC im Visual Studio Marketplace veröffentlicht und 18 Minuten später (12:48 UTC) wieder entfernt.
Im alternativen Registry‑Ökosystem OpenVSX war sie von 12:33 UTC bis 13:09 UTC verfügbar (ca. 36 Minuten).
Die Maintainer stellten später Version 18.100.0 als bestätigte sichere Version bereit.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
Wie lautet die kurze Antwort auf „Supply‑Chain‑Angriff auf Nx Console: Was am 18. Mai 2026 passiert ist“?
Am 18. Mai 2026 wurde eine manipulierte Version der VS‑Code‑Extension Nx Console (v18.95.0) kurzzeitig in offiziellen Extension‑Marktplätzen veröffentlicht und lud Malware nach, die Entwickler‑Credentials stahl.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 18. Mai 2026 wurde eine manipulierte Version der VS‑Code‑Extension Nx Console (v18.95.0) kurzzeitig in offiziellen Extension‑Marktplätzen veröffentlicht und lud Malware nach, die Entwickler‑Credentials stahl. Die Schadsoftware sammelte Tokens und Geheimnisse aus typischen Entwickler‑Tools wie GitHub, AWS, Kubernetes, npm, SSH‑Schlüsseln und mehr und versuchte, über Dateien und Hintergrundprozesse dauerhaft Zugriff zu behal...
Was soll ich als nächstes in der Praxis tun?
Der Vorfall ist besonders brisant, weil bereits 2025 ein großer Supply‑Chain‑Angriff auf das Nx‑Ökosystem über manipulierte npm‑Pakete stattfand.
Die Maintainer erklärten, dass „sehr wenige Nutzer“ betroffen waren, aber nicht null. Systeme, die in diesem Zeitraum installiert oder automatisch aktualisiert wurden, sollten daher vorsorglich als kompromittiert betrachtet werden.
Wie die manipulierte Extension arbeitete
Nach der Installation verhielt sich die Erweiterung zunächst unauffällig. Sobald jedoch ein Workspace geöffnet wurde, startete im Hintergrund schädlicher Code.
Sicherheitsforscher fanden heraus, dass die Extension eine verschleierte Payload (~498 KB) aus einer versteckten Stelle innerhalb der offiziellen Nx‑GitHub‑Repository‑Infrastruktur herunterlud und ausführte.
Diese Payload arbeitete mehrstufig und war speziell darauf ausgelegt, Credentials aus Entwicklerumgebungen zu sammeln.
Ziel der Datensammlung
Die Malware durchsuchte lokale Dateien und Umgebungsvariablen nach sensiblen Authentifizierungsdaten, unter anderem:
GitHub‑Tokens und GitHub‑Actions‑Secrets
npm‑Tokens und OIDC‑Credentials
AWS‑Zugangsdaten und IAM‑Authentifizierung
Kubernetes‑Konfigurationen
HashiCorp‑Vault‑Tokens
SSH‑Private Keys
Docker‑Credentials
Google‑Cloud‑Credentials
API‑Keys und Datenbank‑Connection‑Strings
Daten aus der 1Password‑CLI, wenn eine aktive op‑Session lief
Die gesammelten Daten konnten über HTTPS‑Requests, GitHub‑API‑Aufrufe oder DNS‑basierte Exfiltration an Angreifer übertragen werden.
Persistenz: Wie der Angreifer Zugriff behalten wollte
Neben dem Diebstahl von Zugangsdaten versuchte die Malware, dauerhaft Zugriff auf infizierte Rechner zu behalten.
Zusätzlich konnte ein Python‑Prozess (cat.py) gestartet werden oder Prozesse mit der Umgebungsvariable __DAEMONIZED=1 erscheinen.
Die Persistenz war betriebssystemabhängig:
macOS: Installation eines LaunchAgents, der die Malware automatisch neu startet
Linux: Versuche, Persistenz über Systemkonfigurationen wie Änderungen an sudoers zu erreichen
Diese Mechanismen sollten sicherstellen, dass der Zugriff bestehen bleibt – selbst wenn die Extension später entfernt wird.
Warum dieser Angriff besonders relevant ist
Der Vorfall steht nicht isoliert.
Bereits im August 2025 wurde das Nx‑Ökosystem über npm‑Pakete kompromittiert. Angreifer veröffentlichten manipulierte Versionen des nx‑Buildsystems und mehrerer Plugins. Diese Pakete scannten lokale Systeme nach Credentials und luden sie in GitHub‑Repositories unter Kontrolle der Angreifer hoch.
Der aktuelle Vorfall zeigt zwei wichtige Trends:
Entwickler‑Workstations sind wertvolle Ziele, weil dort oft Cloud‑Credentials, CI/CD‑Tokens und Repository‑Zugänge liegen.
Supply‑Chain‑Angriffe verlagern sich zunehmend auf Entwickler‑Tools, etwa Extensions, Build‑Tools und Paket‑Registries.
Im aktuellen Fall gelang die Veröffentlichung laut Maintainer, weil GitHub‑Publishing‑Credentials eines Entwicklers kompromittiert wurden, der zuvor bereits von einem anderen Sicherheitsvorfall betroffen war. Dadurch konnten Angreifer die üblichen Schutzmechanismen umgehen.
Wer potenziell betroffen war
Ein Risiko bestand für Entwickler, die Nx Console Version 18.95.0 während der kurzen Veröffentlichungsfenster installiert oder automatisch aktualisiert haben:
Visual Studio Marketplace: 18. Mai 2026, 12:30–12:48 UTC
OpenVSX Registry: 18. Mai 2026, 12:33–13:09 UTC
Betroffen sein könnten Nutzer von:
Visual Studio Code
VS‑Code‑Forks oder kompatiblen Editoren
Entwicklungsumgebungen, die Extensions über OpenVSX beziehen
Wer die Extension in diesem Zeitraum installiert hat, sollte davon ausgehen, dass Credentials auf diesem Rechner möglicherweise kompromittiert wurden.
Indicators of Compromise (IOCs)
Folgende Hinweise können auf eine Kompromittierung hinweisen:
Installierte Nx‑Console‑Version 18.95.0 im genannten Zeitraum
Audit‑Logs prüfen, etwa bei GitHub, Cloud‑Providern und CI‑Systemen.
Ist eine Kompromittierung wahrscheinlich, gilt häufig als sicherste Lösung: Workstation komplett neu aufsetzen und Credentials aus einer sauberen Umgebung neu erstellen.
Die größere Lehre aus dem Vorfall
Der Angriff zeigt deutlich, wie weit sich die Software‑Supply‑Chain inzwischen in Entwicklerwerkzeuge hinein ausgedehnt hat. Extensions, Build‑Tools und Paketmanager laufen oft mit umfassendem Zugriff auf Quellcode, Secrets und Infrastruktur.
Gerade deshalb sind sie für Angreifer attraktive Ziele – und selbst Zeitfenster von wenigen Minuten können ausreichen, um sensible Daten aus Entwicklerumgebungen zu stehlen.
Für Unternehmen bedeutet das: Extension‑Updates überwachen, Credential‑Rotation automatisieren und Developer Workstations als kritische Infrastruktur behandeln.
Comments
0 comments