Node Package Manager (NPM): Sicherheitsvorfall
Supply-Chain-Angriff: Entwicklerkonto verteilt Schadsoftware.

Am 8. September 2025 wurde ein großangelegter Supply-Chain-Angriff auf die Software-Plattform NPM bekannt. Über eine Phishing-Mail von "npmjs[.]help" gelang es Angreifern, den Account des Entwicklers Josh Junon ("qix") zu kompromittieren, der unter anderem die weit verbreiteten Pakete ansi-styles, debug und chalk betreut.

Innerhalb von zwei Stunden verbreiteten sich manipulierte Module über NPM, die in rund zehn Prozent aller Cloud-Umgebungen zum Einsatz kamen. Auch Bibliotheken mit Bezug zu DuckDB waren betroffen.

Der Schadcode, ein Wurm mit dem Namen "Shai-Hulud" in Anlehnung an die Sandwürmer aus dem Roman "Dune", infizierte inzwischen mehr als 500 Paketversionen und breitete sich zunehmend selbstständig weiter aus. Nach der Installation eines betroffenen Pakets spähte der Wurm sensible Daten wie npm-Tokens, API-Schlüssel und Cloud-Zugangsdaten aus und lud sie in öffentliche GitHub-Repositories hoch.

Ziel des Angriffs war offenbar der Diebstahl von Kryptowährungen. Der finanzielle Schaden blieb mit rund 600 US-Dollar allerdings gering.