Vier Monate, über 1.000 kontaminierte Pakete, geschätzte fünf Milliarden wöchentliche Downloads – das ist die Bilanz von TeamPCP, einer Bedrohungsgruppe, die nicht etwa mit neuartigen Hacking-Methoden operiert, sondern eine seit Jahren bekannte strukturelle Schwäche des Open-Source-Ökosystems schonungslos offenlegt. Der Angriff ist kein Bug, sondern ein Feature des Systems, das die Branche selbst geschaffen hat.
Ein jahrelang bekannter Konstruktionsfehler wird zur Waffe
Die Sicherheitsarchitektur von Open Source beruht auf einem fragilen Vertrauensmodell. Forscher und Entwickler wussten es, aber die meisten Organisationen verzichteten darauf, die Legitimität von Paketen in öffentlichen Registern tatsächlich zu überprüfen. CI/CD-Pipelines ziehen automatisch Code von vorgelagerten Quellen, testen ihn und spielen ihn aus – ein idealer Nährboden für Supply-Chain-Angriffe, den TeamPCP ab Ende Februar 2026 systematisch ausnutzte.
Das erste Ziel war ausgerechnet ein Sicherheitsscanner: Trivy von Aqua Security. Über ein nicht widerrufenes Token in einem GitHub Actions-Workflow gelang es der Gruppe, den offiziellen Release-Kanal zu kompromittieren. Ein Sicherheitstool wurde zum Einfallstor. Von dort aus weitete sich der Angriff rasant aus: Mit den erbeuteten Anmeldeinformationen von Trivy infiltrierte TeamPCP KICS von Checkmarx, dann LiteLLM, Bitwarden, TanStack und AntV. Im Mai war das PyPI-Paket von Microsofts DurableTask verseucht, und über eine manipulierte VS-Code-Erweiterung von Nx Console gelangten rund 3.800 interne GitHub-Repositories nach außen.
Die Besessenheit von Geschwindigkeit als Angriffsvektor
Warum konnte die Kampagne derart eskalieren? Ein wesentlicher Grund ist die jahrelange Fixierung der Softwareentwicklung auf Geschwindigkeit. CI-Routinen bauen, testen und veröffentlichen automatisch. Entwickler wurden angewiesen, stets die aktuellste Version zu beziehen, um Sicherheitslücken rasch zu schließen. TeamPCP nutzte diese Gewohnheit skrupellos aus. Ein einziger kompromittierter CI/CD-Workflow reicht aus, um Schadcode an Tausende von Downstream-Entwicklern zu liefern, die automatisch pullen.
Feross Aboukhadijeh, CEO von Socket, weist darauf hin, dass die Verbreitung von KI-generiertem Code dieses Problem verschärft. Ein Agent installiert oft ohne Prüfung fremde Pakete. Die ohnehin dünne Kontrollinstanz wird noch durchlässiger. „Wenn ein Angreifer erst einmal drin ist, gibt es kaum Hindernisse – die Wirkung ist enorm“, beschreibt Aboukhadijeh die Lage. Auch Kimberly Goody von der Google Threat Intelligence Group (GTIG) betont, dass die Methode an sich nicht neu, wohl aber die schiere Geschwindigkeit und das Ausmaß des Angriffs beispiellos sind. Nathaniel Quist von Palo Alto Networks sieht die Verantwortung bereits vorgelagert: Organisationen und Einzelpersonen, die Pakete veröffentlichen, müssten ihre Zugangsdaten rigoroser schützen, um Angriffen dieser Art die Basis zu entziehen.
Was ist das Motiv hinter den Angriffen von TeamPCP?
Im Gegensatz zu den meisten Cyberkriminellen geht es TeamPCP offenbar nicht primär um Geld. Die Gruppe, deren Kern Google auf einen einzelnen Operator in Südafrika zurückführt und die von Palo Alto Networks unter den Handles „ResoluteXBF“, „diencracked“ und „Shinigami“ beobachtet wird, erbeutete durch Erpressung nur rund 90.000 US-Dollar (etwa 1,45 Millionen Yen). Der Wert der gestohlenen knapp 4.000 privaten Repositories wurde auf 95.000 Dollar geschätzt. „Sie verdienen nicht viel Geld, aber sie richten großen Schaden an“, sagt Kimberly Goody. „Chaos zu stiften scheint ihr Antrieb zu sein.“
Im Mai veröffentlichte ein mit TeamPCP verbundener Account den Quellcode einer selbst entwickelten Waffe namens „Mini Shai-Hulud“ auf GitHub. Diese Demokratisierung der Angriffswerkzeuge senkt die Einstiegshürde für Nachahmer und sorgt dafür, dass die Kampagne auch dann weiterlaufen könnte, wenn die ursprünglichen Betreiber gefasst werden. Sollte TeamPCP tatsächlich aus einer Einzelperson bestehen, wäre das für die Strafverfolgung eine seltene Gelegenheit, einen ganzen Ast des Angriffs zu kappen. Doch mit der Veröffentlichung von Mini Shai-Hulud schmilzt dieses Fenster bereits.
Die tatsächliche Reichweite des Schadens
Auch wenn die wöchentlichen Downloads infizierter Pakete astronomisch sind, bedeutet das nicht, dass jeder Download zu einem Kompromittierungsfall führt. Viele Umgebungen, die Schadcode enthalten, sind nicht direkt mit dem Internet verbunden oder bieten keine nutzbaren Angriffspunkte. Dennoch ist der Diebstahl von Zugangsdaten real. Kubernetes-Cluster, AWS-, Azure- und Google-Cloud-Konten wurden Ziel von Lateral Movement. Laut Amitai Cohen von Wiz gebe es Fälle, in denen dieselbe Organisation aufgrund unzureichender Bereinigung innerhalb eines Monats drei Mal von TeamPCP getroffen wurde.
Die Liste der betroffenen Unternehmen liest sich wie ein Who-is-Who der Tech-Branche: Checkmarx, Bitwarden, LiteLLM, Telnyx, SAP, GitHub, Mistral AI, UiPath und Red Hat sind nur einige der prominenten Namen, deren interne Systeme oder veröffentlichte Pakete kompromittiert wurden.
Die Branche reagiert – aber reicht das?
Der wohl bedeutendste Schachzug der Verteidigung ist die Ankündigung von npm. Version 12, deren Veröffentlichung für Juli 2026 vorgesehen ist, deaktiviert standardmäßig die automatische Ausführung der Skripte preinstallcodecodecodecode, installcodecodecodecode und postinstallcodecodecodecode. Zwölf Jahre lang konnten diese Skripte allein durch npm installcodecodecodecode ausgeführt werden – eine Angriffsfläche, die TeamPCP und zuvor schon die Miasma-Wurmvariante bei Red Hat gnadenlos ausgenutzt haben. Künftig erfordert die Skriptausführung eine explizite Zustimmung des Benutzers.
Auch Installationen aus Git-Abhängigkeiten oder Remote-URLs werden ohne Zustimmung blockiert. Dies ist der größte sicherheitspolitische Kurswechsel in der Geschichte von npm. Doch die Abschaltung der Installationsskripte ist kein Allheilmittel. TeamPCP nutzte auch andere Wege: den direkten Angriff auf CI/CD-Workflows, den Diebstahl von OIDC-Tokens und die Kompromittierung von VS-Code-Erweiterungen. npm v12 schließt eine wichtige Tür, aber das Gebäude hat noch viele offene Fenster.
Die Sicherheitscommunity ist angespannt. Cohen von Wiz, der den Angriff von Beginn an verfolgt, zeigte sich auf der Konferenz SleuthCon erschöpft. „Jeden Morgen wache ich auf und ein weit verbreitetes Paket ist kompromittiert, und alle benutzen es weiter, als wäre nichts passiert.“ Sicherheitsteams haben die Erkennungsgeschwindigkeit erhöht – einige Repositories werden inzwischen innerhalb von 15 Minuten gesäubert. Doch TeamPCP infiziert fast täglich neue Pakete und extrahiert Daten innerhalb von 24 Stunden. Die Verteidiger werden schneller, aber die Angreifer bleiben einen Schritt voraus.
Dass das Vertrauensmodell von Open Source brüchig ist, war kein Geheimnis. TeamPCP hat nur in einem bisher nicht ignorierbaren Ausmaß bewiesen, was viele längst wussten. Die Frage bleibt, ob die Branche aus dieser Zäsur die notwendigen strukturellen Konsequenzen zieht – oder ob sie wartet, bis der nächste Angriff kommt, der noch größer ist.
