Shai-Hulud: Was der npm-Angriff von 2025 gezeigt hat

*Archivbeitrag vom 19. September 2025. Redaktionell eingeordnet und aktualisiert am 8. September 2026. Dieser Text beschreibt die erste Shai-Hulud-Kampagne von September 2025, keine aktuelle Entwarnung oder Alarmmeldung.*

Was damals geschah

Shai-Hulud verbreitete sich über kompromittierte npm-Pakete. Schadcode konnte bei der Installation ausgeführt werden, Zugangsdaten stehlen und diese für weitere Veröffentlichungen missbrauchen. GitHub bestätigte kompromittierte Maintainer-Konten und entfernte betroffene Pakete. Die damalige Untersuchung von Wiz beschreibt den Diebstahl von Geheimnissen und die Weiterverbreitung über erreichbare npm-Tokens.

Was ein betroffenes Team prüfen muss

Eine bekannte Schwachstelle in einer Abhängigkeit und eine bereits kompromittierte Entwicklungsumgebung sind unterschiedliche Probleme. Ein Versionsupdate allein klärt nicht, ob Zugangsdaten abgeflossen sind.

Bei einem konkreten Verdacht gehört die Untersuchung in den Incident-Response-Prozess: betroffene Systeme isolieren, Belege sichern, exponierte Zugänge widerrufen und von einer sauberen Umgebung aus erneuern. Paketversionen, Installationszeitpunkte, Build-Logs und verdächtige Repository-Änderungen helfen, den Umfang zu bestimmen. Welche Maßnahmen nötig sind, hängt von der tatsächlichen Exposition ab.

Was npm audit leistet

`npm audit` prüft konfigurierte Abhängigkeiten auf bekannte Schwachstellen. Ein Bericht ohne Treffer ist kein Nachweis, dass ein System frei von Schadcode oder gestohlenen Zugangsdaten ist. `npm audit fix` führt Installationsschritte aus und ist deshalb keine pauschale Sofortmaßnahme auf einer möglicherweise kompromittierten Umgebung. Updates und Wiederherstellung brauchen Prüfung und Tests.

Was wir daraus für digitale Projekte ableiten

Abhängigkeiten brauchen klare Verantwortliche, nachvollziehbare Änderungen und überprüfbare Build-Abläufe. Sicherheitsprüfung gehört ebenso zur Qualität einer Website wie Gestaltung und Bedienung. Für aktuelle Vorfälle sind die aktuellen Hinweise der Maintainer und Sicherheitsverantwortlichen maßgeblich.

Quellen

• GitHub: npm-Sicherheitsvorfälle im September 2025
• Wiz: Untersuchung der ersten Shai-Hulud-Kampagne
• npm: Funktionsweise und Grenzen von npm audit