Wenn die eigene Build-Pipeline zum Feind wird: Der Red-Hat-NPM-Angriff und die Zeitenwende in der Software-Supply-Chain-Sicherheit
Einleitung: Vertrauen ist keine Sicherheitsstrategie
Die größte Gefahr für Ihre IT-Infrastruktur lauert nicht in Zero-Day-Exploits, die Schlagzeilen machen, sondern in den vertrauenswürdigsten Paketen Ihrer Build-Pipeline. Über 30 offizielle npm-Pakete von Red Hat – einem der angesehensten Namen der Open-Source-Welt – wurden am 1. Juni 2026 als Träger der Miasma-Malware identifiziert. Woche für Woche vertrauten rund 80.000 Entwickler und CI/CD-Systeme auf diese Pakete. Der Fall markiert einen Wendepunkt: Wenn eine Instanz wie Red Hat zum Vektor wird, steht das gesamte Ökosystem der Software-Lieferketten auf dem Prüfstand. Dieser Artikel analysiert den Angriff, die Malware, die dahinterstehende Bedrohungsgruppe und die Konsequenzen für Developer Security im Jahr 2026.
Was geschah bei Red Hat? Der Kompromittierungsfall im @redhat-cloud-services-Namespace
Am 1. Juni 2026 veröffentlichte BleepingComputer einen Bericht, der die Developer-Community erschütterte: Mehr als 30 Pakete innerhalb des offiziellen npm-Namespace @redhat-cloud-services waren kompromittiert worden. Die Pakete, die für die Integration mit Red Hat Cloud Services genutzt werden, enthielten eine bis dahin unbekannte Malware-Variante namens „Miasma“. Betroffen waren unter anderem weit verbreitete Bibliotheken für Authentifizierung, Konfigurationsmanagement und API-Wrapper.
Das Ausmaß der Verbreitung
Laut The Register wurden die infizierten Pakete wöchentlich rund 80.000 Mal heruntergeladen. Das bedeutet, dass potenziell Zehntausende von Entwickler-Workstations, CI/CD-Runner und Build-Server innerhalb weniger Tage kompromittiert wurden. Die Angreifer hatten es nicht auf die Endnutzer der Software abgesehen, sondern gezielt auf die Entwickler selbst – auf ihre Credentials, ihre SSH-Keys und ihre Cloud-Zugänge.
Reaktionskette und Schadensbegrenzung
Red Hat reagierte innerhalb von Stunden nach der Entdeckung und entfernte die kompromittierten Versionen aus der npm-Registry. Doch die Aufräumarbeiten gestalteten sich komplex: Da npm-Pakete in zahllosen package-lock.json-Dateien festgeschrieben sind, blieben viele Installationen auf den infizierten Versionen stehen. Die npm-Registry zwang keine automatischen Downgrades. Entwicklerteams weltweit mussten manuell überprüfen, ob ihre Abhängigkeiten betroffen waren. Der Vorfall zeigte, wie verwundbar selbst die vertrauenswürdigsten Software-Lieferketten sind – ein Thema, das wir auf itratgeber2024.de im Bereich Cybersecurity immer wieder beleuchten.
Wie funktioniert die Miasma-Malware? Anatomie eines Developer-Credential-Diebstahls
Miasma ist kein Massenware-Trojaner. Die Malware wurde präzise auf die Lebenswirklichkeit von Entwicklern zugeschnitten. Sie operiert in drei Phasen: Infektion, Exfiltration und Persistenz.
Phase 1: Infektion über Postinstall-Skripte
Der Einstiegspunkt war das postinstall-Skript in der package.json der kompromittierten Pakete. Sobald ein Entwickler npm install ausführte, wurde das Skript im Kontext des ausführenden Benutzers gestartet – mit allen Rechten, die dieser Benutzer besaß. Das Skript lud eine verschleierte Payload von einem Command-and-Control-Server nach und führte sie im Arbeitsspeicher aus, ohne Spuren auf der Festplatte zu hinterlassen. Dateibasierte Antivirenlösungen erkannten die Malware daher in den ersten Tagen nicht.
Phase 2: Gezielte Exfiltration von Developer-Credentials
Miasma durchsuchte das Dateisystem nach hochwertigen Zielen:
- ~/.aws/credentials – AWS-Zugangsdaten, oft mit weitreichenden IAM-Berechtigungen
- ~/.ssh/ – Private SSH-Keys, die Zugang zu Produktionsservern, Git-Servern und internen Netzwerken gewähren
- Git-Konfigurationen –
.gitconfigund.git-credentialsmit gespeicherten Zugangsdaten für Repositories - Umgebungsvariablen –
env-Ausgaben, die oft API-Keys, Datenbank-Passwörter und Service-Tokens enthalten
Die gesammelten Daten wurden verschlüsselt an C2-Server exfiltriert. Besonders perfide: Miasma suchte auch in Docker-Containern und temporären Verzeichnissen nach Credential-Dateien, die bei Build-Prozessen entstehen.
Phase 3: Persistenz und laterale Bewegung
Nach der initialen Exfiltration versuchte Miasma, persistente Zugänge zu etablieren. Die Malware modifizierte .bashrc– und .zshrc-Dateien, um bei jedem neuen Terminal-Fenster erneut Payloads nachzuladen. In CI/CD-Umgebungen injizierte sie sich in Build-Skripte und Pipeline-Definitionen. Auf diese Weise konnte sie sich lateral über gemeinsam genutzte Runner und Artefakt-Repositories ausbreiten. Die DevOps-Community auf itratgeber2024.de diskutiert seitdem intensiv über die Absicherung von Build-Pipelines gegen solche Angriffe.
DriveSurge & ClickFix: Das größere Bild der Bedrohungsgruppe
Die Kompromittierung der Red-Hat-Pakete war kein isolierter Vorfall. Dahinter steht die Bedrohungsgruppe DriveSurge, die seit Anfang 2026 eine mehrgleisige Angriffskampagne fährt. Wie BleepingComputer berichtete, hat DriveSurge parallel tausende legitime Websites gehackt und für ClickFix- sowie FakeUpdate-Angriffe umfunktioniert.
ClickFix: Social Engineering auf höchstem Niveau
Bei ClickFix-Angriffen werden Nutzer auf kompromittierten Websites mit gefälschten Fehlermeldungen konfrontiert – etwa „Chrome benötigt ein kritisches Update“ oder „Ihr System ist mit Malware infiziert“. Die Meldungen sind visuell perfekt an das jeweilige Betriebssystem angepasst. Klickt der Nutzer auf den angebotenen „Fix“-Button, wird eine Malware-Payload heruntergeladen und ausgeführt. DriveSurge nutzte diese Methode, um initialen Zugang zu Entwickler-Workstations zu erhalten, von denen aus dann Credentials für die npm-Registry entwendet wurden.
FakeUpdate: Der Klassiker in neuem Gewand
FakeUpdate-Angriffe täuschen Browser-Updates vor. Die DriveSurge-Variante war besonders raffiniert: Sie erkannte das tatsächlich installierte Betriebssystem und den Browser und generierte eine pixelgenaue Nachbildung der offiziellen Update-Dialoge. Die Verbindung zwischen FakeUpdate und der NPM-Kompromittierung liegt in der Credential-Kette: Ein erfolgreicher FakeUpdate-Angriff auf einen Red-Hat-Maintainer könnte die initialen Zugangsdaten geliefert haben, die für die Übernahme des @redhat-cloud-services-Namespace nötig waren.
Supply Chain Security: Der schwache Punkt in der modernen Softwareentwicklung
Der Red-Hat-Vorfall ist kein Einzelfall, sondern Symptom eines systemischen Problems. Moderne Softwareentwicklung basiert auf einem komplexen Geflecht von Abhängigkeiten, die oft blind vertraut wird. Ein einziges kompromittiertes Paket kann wie ein Domino-Stein eine ganze Kaskade von Sicherheitsverletzungen auslösen.
Das Vertrauensmodell von npm ist defekt
Die npm-Registry vertraut auf Paketnamen und Versionsnummern. Ein Maintainer-Account, der einmal kompromittiert ist, kann beliebige Versionen eines Pakets veröffentlichen. Es gibt keine kryptografische Verifikation, dass eine neue Version tatsächlich vom legitimen Maintainer stammt – es sei denn, der Maintainer signiert seine Pakete manuell. Die meisten tun das nicht. Das SLSA-Framework (Supply-chain Levels for Software Artifacts) beschreibt genau diese Bedrohung unter dem Punkt „Compromise Package Repo“: Wenn ein Angreifer die Kontrolle über ein Repository oder einen Namespace erlangt, kann er beliebige Artefakte verteilen, ohne dass die Konsumenten dies erkennen können.
Die Blindspots in der CI/CD-Pipeline
CI/CD-Systeme sind besonders verwundbar, weil sie oft mit erhöhten Rechten laufen und Zugriff auf Secrets, Cloud-Credentials und Produktionsumgebungen haben. Ein infiziertes npm-Paket, das während eines Builds ausgeführt wird, erbt diese Rechte. Die Miasma-Malware war genau auf diesen Vektor optimiert: Sie erkannte CI/CD-Umgebungen anhand von Umgebungsvariablen wie CI=true oder GITHUB_ACTIONS=true und passte ihr Verhalten entsprechend an. In Cloud-nativen Umgebungen, wie wir sie auf itratgeber2024.de im Cloud-Bereich besprechen, potenziert sich das Risiko durch die Vielzahl automatisierter Deployment-Pipelines.
Schutzmaßnahmen für Entwickler und Unternehmen
Die gute Nachricht: Gegen Supply-Chain-Angriffe wie Miasma gibt es wirksame Verteidigungsstrategien. Die schlechte Nachricht: Die meisten Unternehmen setzen sie noch nicht konsequent um. Die folgende Tabelle vergleicht die wichtigsten Maßnahmen hinsichtlich ihrer Wirksamkeit und Implementierungskomplexität.
| Maßnahme | Wirksamkeit gegen Miasma | Implementierungsaufwand | Reifegrad in der Branche |
|---|---|---|---|
| Dependency Pinning & Lockfile-Integrität | Hoch – verhindert automatische Updates auf kompromittierte Versionen | Gering | Mittel – weit verbreitet, aber oft nicht konsequent |
| Package Signing & Verification | Sehr hoch – kryptografische Sicherheit gegen gefälschte Pakete | Mittel | Niedrig – in npm-Ökosystem kaum etabliert |
| Postinstall-Skript-Deaktivierung | Hoch – blockiert den initialen Infektionsvektor | Gering (–ignore-scripts-Flag) | Niedrig – wird selten genutzt, bricht oft Builds |
| Software Bill of Materials (SBOM) | Mittel – ermöglicht forensische Analyse nach einem Vorfall | Mittel | Wachsend – getrieben durch regulatorische Anforderungen |
| Least-Privilege für CI/CD-Runner | Sehr hoch – begrenzt den Schaden bei Kompromittierung | Hoch – erfordert Architekturänderungen | Niedrig – viele Runner laufen mit überhöhten Rechten |
| Network Egress Filtering in Build-Umgebungen | Hoch – verhindert Exfiltration zu C2-Servern | Mittel | Niedrig – wird oft als zu restriktiv empfunden |
Sofortmaßnahmen für Entwicklerteams
- Überprüfen Sie Ihre Lockfiles: Suchen Sie nach Abhängigkeiten aus dem
@redhat-cloud-services-Namespace und gleichen Sie die Versionen mit den bekannten sicheren Versionen ab. - Ignorieren Sie Postinstall-Skripte: Führen Sie
npm install --ignore-scriptsaus und führen Sie notwendige Build-Skripte manuell und überprüft aus. - Scannen Sie Ihre Umgebungen: Durchsuchen Sie Workstations und CI/CD-Runner nach Indikatoren für Miasma – insbesondere ungewöhnliche Modifikationen in
.bashrc,.zshrcund Git-Konfigurationen. - Rotieren Sie alle Credentials: Wenn Sie betroffene Pakete installiert hatten, betrachten Sie sämtliche AWS-Keys, SSH-Keys und Umgebungsvariablen als kompromittiert.
Regulatorische Konsequenzen und Frameworks: NIST SSDF und SLSA als Wegweiser
Der Red-Hat-Vorfall wird regulatorische Wellen schlagen. Schon jetzt zeichnet sich ab, dass Software-Supply-Chain-Sicherheit zum Prüfstein für Compliance und Haftung wird. Zwei Frameworks stehen dabei im Zentrum.
NIST SSDF: Sicherheit in den Entwicklungsprozess integrieren
Das Secure Software Development Framework (SSDF) des NIST definiert einen Katalog von Praktiken, die Software sicherer machen sollen. Für Supply-Chain-Sicherheit sind besonders die Praktiken aus der Gruppe „Produce Well-Secured Software“ relevant: Die Forderung nach überprüfbaren Herkunftsnachweisen (Provenance) für alle Software-Artefakte, die Verifikation von Drittanbieter-Komponenten und die kontinuierliche Überwachung der Lieferkette. Hätte Red Hat die SSDF-Praktiken vollständig umgesetzt, wäre die Kompromittierung entweder verhindert oder zumindest sofort erkannt worden.
SLSA: Bedrohungsmodellierung für die Lieferkette
Das SLSA-Framework (Supply-chain Levels for Software Artifacts) bietet eine formale Bedrohungsmodellierung für Software-Lieferketten. Der Angriff auf die Red-Hat-Pakete fällt exakt in die SLSA-Bedrohungskategorie „Compromise Package Repo“. SLSA definiert vier Sicherheitsstufen, von denen die höchste Stufe (Level 4) verlangt, dass jede Änderung an einem Artefakt von zwei unabhängigen, authentifizierten Personen genehmigt wird und dass der gesamte Build-Prozess in einer isolierten, reproduzierbaren Umgebung stattfindet. Für weit verbreitete Pakete wie die von Red Hat wäre SLSA Level 3 oder 4 ein angemessener Sicherheitsstandard.
Im Fokus: Die fünf zentralen Erkenntnisse aus dem Red-Hat-NPM-Vorfall
Der Angriff auf die @redhat-cloud-services-Pakete ist mehr als ein weiterer Sicherheitsvorfall. Er ist ein Weckruf für die gesamte Software-Industrie. Hier die fünf wichtigsten Erkenntnisse:
- Vertrauen ist der Angriffsvektor der Zukunft. Angreifer zielen nicht mehr auf Schwachstellen im Code, sondern auf die Vertrauensbeziehungen in der Lieferkette. Wer einen vertrauenswürdigen Namespace übernimmt, kann Malware im großen Stil verteilen.
- Developer-Credentials sind die Kronjuwelen. SSH-Keys, AWS-Credentials und Git-Tokens öffnen Türen zu Produktionssystemen, Cloud-Infrastrukturen und geistigem Eigentum. Miasma hat gezeigt, wie gezielt diese Werte angegriffen werden.
- CI/CD-Pipelines sind Multiplikatoren des Risikos. Ein infiziertes Paket in einer Build-Pipeline kann in Minuten hunderte von Systemen kompromittieren. Least-Privilege-Prinzipien und Netzwerksegmentierung sind keine optionalen Features, sondern überlebenswichtig.
- Frameworks wie NIST SSDF und SLSA sind keine Theorie. Sie beschreiben präzise die Kontrollen, die einen Angriff wie Miasma verhindert oder zumindest eingedämmt hätten. Ihre Umsetzung muss von der Kür zur Pflicht werden.
- DriveSurge zeigt die Professionalisierung der Angreifer. Die Kombination aus großflächigen FakeUpdate-Kampagnen und gezielten Supply-Chain-Angriffen deutet auf eine hochorganisierte Gruppe mit erheblichen Ressourcen hin. Die Verteidigung muss ebenso professionell und mehrschichtig sein.
Die Frage ist nicht, ob der nächste Supply-Chain-Angriff kommt, sondern wann und gegen wen. Die Antwort darauf entscheidet sich in den Build-Pipelines und Entwicklungsumgebungen dieser Welt – heute, nicht morgen.
