keyv: Sicherheitsvorfall
Lieferkettenangriff kompromittiert populäre npm-Pakete über Wurm.

Am 4. August wurde der GitHub‑Account des Maintainers der Key‑Value‑Datenbank keyv im Rahmen einer Shai‑Hulud‑Lieferkettenattacke kompromittiert. Die Angreifer setzten eine Variante namens ChainDrop ein, die sich nach der Kompromittierung über die gesamte keyv‑Paketfamilie und zahlreiche weitere npm‑Pakete ausbreitete. Der Schadcode suchte nach der Installation gezielt nach Zugangsdaten wie GitHub‑ und npm‑Tokens sowie AWS‑ und Azure‑Credentials und lud diese anschließend in öffentliche GitHub‑Repositories hoch. Über gestohlene npm‑Tokens konnte sich die Malware selbst weiterverbreiten. Bis zum 5. August wurden mehr als 1300 bösartige Versionen von 444 Paketen identifiziert.