Vier Monate, \u00fcber 1.000 kontaminierte Pakete, gesch\u00e4tzte f\u00fcnf Milliarden w\u00f6chentliche Downloads \u2013 das ist die Bilanz von TeamPCP, einer Bedrohungsgruppe, die nicht etwa mit neuartigen Hacking-Methoden operiert, sondern eine seit Jahren bekannte strukturelle Schw\u00e4che des Open-Source-\u00d6kosystems schonungslos offenlegt. Der Angriff ist kein Bug, sondern ein Feature des Systems, das die Branche selbst geschaffen hat.<\/p>\n
Die Sicherheitsarchitektur von Open Source beruht auf einem fragilen Vertrauensmodell. Forscher und Entwickler wussten es, aber die meisten Organisationen verzichteten darauf, die Legitimit\u00e4t von Paketen in \u00f6ffentlichen Registern tats\u00e4chlich zu \u00fcberpr\u00fcfen. CI\/CD-Pipelines ziehen automatisch Code von vorgelagerten Quellen, testen ihn und spielen ihn aus \u2013 ein idealer N\u00e4hrboden f\u00fcr Supply-Chain-Angriffe, den TeamPCP ab Ende Februar 2026 systematisch ausnutzte.<\/p>\n
Das erste Ziel war ausgerechnet ein Sicherheitsscanner: Trivy von Aqua Security. \u00dcber ein nicht widerrufenes Token in einem GitHub Actions-Workflow gelang es der Gruppe, den offiziellen Release-Kanal zu kompromittieren. Ein Sicherheitstool wurde zum Einfallstor. Von dort aus weitete sich der Angriff rasant aus: Mit den erbeuteten Anmeldeinformationen von Trivy infiltrierte TeamPCP KICS von Checkmarx, dann LiteLLM, Bitwarden, TanStack und AntV. Im Mai war das PyPI-Paket von Microsofts DurableTask verseucht, und \u00fcber eine manipulierte VS-Code-Erweiterung von Nx Console gelangten rund 3.800 interne GitHub-Repositories nach au\u00dfen.<\/p>\n
Warum konnte die Kampagne derart eskalieren? Ein wesentlicher Grund ist die jahrelange Fixierung der Softwareentwicklung auf Geschwindigkeit. CI-Routinen bauen, testen und ver\u00f6ffentlichen automatisch. Entwickler wurden angewiesen, stets die aktuellste Version zu beziehen, um Sicherheitsl\u00fccken rasch zu schlie\u00dfen. TeamPCP nutzte diese Gewohnheit skrupellos aus. Ein einziger kompromittierter CI\/CD-Workflow reicht aus, um Schadcode an Tausende von Downstream-Entwicklern zu liefern, die automatisch pullen.<\/p>\n
Feross Aboukhadijeh, CEO von Socket, weist darauf hin, dass die Verbreitung von KI-generiertem Code dieses Problem versch\u00e4rft. Ein Agent installiert oft ohne Pr\u00fcfung fremde Pakete. Die ohnehin d\u00fcnne Kontrollinstanz wird noch durchl\u00e4ssiger. \u201eWenn ein Angreifer erst einmal drin ist, gibt es kaum Hindernisse \u2013 die Wirkung ist enorm“, beschreibt Aboukhadijeh die Lage. Auch Kimberly Goody von der Google<\/a> Threat Intelligence Group (GTIG) betont, dass die Methode an sich nicht neu, wohl aber die schiere Geschwindigkeit und das Ausma\u00df des Angriffs beispiellos sind. Nathaniel Quist von Palo Alto Networks sieht die Verantwortung bereits vorgelagert: Organisationen und Einzelpersonen, die Pakete ver\u00f6ffentlichen, m\u00fcssten ihre Zugangsdaten rigoroser sch\u00fctzen, um Angriffen dieser Art die Basis zu entziehen.<\/p>\n Im Gegensatz zu den meisten Cyberkriminellen geht es TeamPCP offenbar nicht prim\u00e4r um Geld. Die Gruppe, deren Kern Google auf einen einzelnen Operator in S\u00fcdafrika zur\u00fcckf\u00fchrt und die von Palo Alto Networks unter den Handles \u201eResoluteXBF“, \u201ediencracked“ und \u201eShinigami“ beobachtet wird, erbeutete durch Erpressung nur rund 90.000 US-Dollar (etwa 1,45 Millionen Yen<\/a>). Der Wert der gestohlenen knapp 4.000 privaten Repositories wurde auf 95.000 Dollar gesch\u00e4tzt. \u201eSie verdienen nicht viel Geld, aber sie richten gro\u00dfen Schaden an“, sagt Kimberly Goody. \u201eChaos zu stiften scheint ihr Antrieb zu sein.“<\/p>\n Im Mai ver\u00f6ffentlichte ein mit TeamPCP verbundener Account den Quellcode einer selbst entwickelten Waffe namens \u201eMini Shai-Hulud“ auf GitHub. Diese Demokratisierung der Angriffswerkzeuge senkt die Einstiegsh\u00fcrde f\u00fcr Nachahmer und sorgt daf\u00fcr, dass die Kampagne auch dann weiterlaufen k\u00f6nnte, wenn die urspr\u00fcnglichen Betreiber gefasst werden. Sollte TeamPCP tats\u00e4chlich aus einer Einzelperson bestehen, w\u00e4re das f\u00fcr die Strafverfolgung eine seltene Gelegenheit, einen ganzen Ast des Angriffs zu kappen. Doch mit der Ver\u00f6ffentlichung von Mini Shai-Hulud schmilzt dieses Fenster bereits.<\/p>\n Auch wenn die w\u00f6chentlichen Downloads infizierter Pakete astronomisch sind, bedeutet das nicht, dass jeder Download zu einem Kompromittierungsfall f\u00fchrt. Viele Umgebungen, die Schadcode enthalten, sind nicht direkt mit dem Internet verbunden oder bieten keine nutzbaren Angriffspunkte. Dennoch ist der Diebstahl von Zugangsdaten real. Kubernetes-Cluster, AWS-, Azure- und Google-Cloud-Konten wurden Ziel von Lateral Movement. Laut Amitai Cohen von Wiz gebe es F\u00e4lle, in denen dieselbe Organisation aufgrund unzureichender Bereinigung innerhalb eines Monats drei Mal von TeamPCP getroffen wurde.<\/p>\n Die Liste der betroffenen Unternehmen liest sich wie ein Who-is-Who der Tech-Branche: Checkmarx, Bitwarden, LiteLLM, Telnyx, SAP, GitHub, Mistral AI, UiPath und Red Hat<\/a> sind nur einige der prominenten Namen, deren interne Systeme oder ver\u00f6ffentlichte Pakete kompromittiert wurden.<\/p>\nWas ist das Motiv hinter den Angriffen von TeamPCP?<\/h2>\n
Die tats\u00e4chliche Reichweite des Schadens<\/h2>\n
Die Branche reagiert \u2013 aber reicht das?<\/h2>\n