Ein gekapertes Entwicklerkonto hat am 4. August 2026 einen Wurm in die Programmierbibliothek Keyv eingeschleust, der sich binnen weniger Stunden auf 444 Pakete im npm-Register ausbreitete. Die betroffenen Pakete zählen zusammen mehr als zwei Milliarden monatliche Downloads. Die Schadsoftware durchsucht befallene Rechner gezielt nach Zugangsdaten von KI-Programmierwerkzeugen wie Claude Code und Cursor.
Gekapertes Wartungskonto verbreitet Schadcode binnen Stunden
Der Angriff begann laut der Sicherheitsfirma Wiz gegen 9 Uhr UTC. Unbekannte schleusten über das gekaperte GitHub-Konto des Keyv-Maintainers Jared Wray Schadcode direkt in den Hauptzweig des Repositorys ein und veröffentlichten die manipulierte Version 6.0.0.
Von dort verbreitete sich der Wurm automatisiert weiter. Mit gestohlenen Zugangsdaten veröffentlichte er binnen vier Stunden 2.212 manipulierte Versionen über 444 Pakete, darunter cache-manager, flat-cache und file-entry-cache sowie Pakete großer Firmen wie Qlik. Allein Keyv selbst zählt mehr als 150 Millionen wöchentliche Downloads. Ein präparierter Installationsbefehl lud die JavaScript-Laufzeitumgebung Bun nach und startete darüber eine rund 710 Kilobyte große, verschleierte zweite Angriffsstufe.
Schadsoftware nimmt gezielt Zugangsdaten von KI-Werkzeugen ins Visier
Die zweite Stufe durchsucht befallene Systeme nach klassischen Zielen wie npm- und GitHub-Token, Cloud-Zugängen bei AWS und Google Cloud sowie Kubernetes- und HashiCorp-Vault-Geheimnissen. Die Schadsoftware gehört laut Wiz zur Familie Shai-Hulud und trägt gegenüber früheren Varianten eine um rund 70 Prozent erweiterte Zielliste. Sie schließt nun ausdrücklich Konfigurationsdateien von Claude Code, Cursor, Gemini und OpenAIs Codex ein.
Zur dauerhaften Verankerung schreibt die Schadsoftware zudem eigene Hooks in Claude-Code-Einstellungen und in die VS-Code-Datei tasks.json, sodass sie bei jedem neuen Sitzungsstart erneut ausgeführt wird. Bereits im Juli hatte ein ähnlicher Fall beim Paket Jscrambler gezielt Zugangsdaten von Claude Desktop und weiteren KI-Tools abgegriffen. Die neue Kampagne übertrifft diesen Fall jedoch deutlich in Reichweite und automatisierter Selbstverbreitung.
Steuerung läuft über einen Ethereum-Smart-Contract
Statt fester Server nutzt die Schadsoftware laut Analysen von StepSecurity einen Smart Contract auf der Ethereum-Blockchain, um die Adresse ihrer Kontrollserver dynamisch abzurufen. Sicherheitsforscher bezeichnen diese Technik als EtherHiding. Erbeutete Daten verschlüsselt die Schadsoftware zusätzlich, bevor sie über die Domain npm-cache.com abfließen.
Wray bestätigte den Kontenmissbrauch und erklärte, er habe für npm auf OpenID Connect statt dauerhafter Zugangstoken gesetzt. Zudem kündigte er eine vollständige Prüfung seiner Konten an. Nach Angaben von CSO Online waren die manipulierten Versionen binnen zwei Stunden nach Entdeckung entfernt, Wray erhielt gegen 20 Uhr UTC wieder Zugriff auf sein Konto. Sicherheitsteams raten Entwicklungsteams, betroffene Pakete zu entfernen, npm- und GitHub-Zugangsdaten sowie Cloud- und Kubernetes-Zugänge zu rotieren und Systeme gezielt auf Persistenzdateien in den Ordnern .claude und .vscode zu prüfen.
Offen bleibt, wie viele der weltweit heruntergeladenen Installationen tatsächlich eine manipulierte Version erhielten – das ist unabhängig nicht verifiziert, die beteiligten Sicherheitsfirmen nennen bislang nur die Zahl veröffentlichter Schadversionen, keine Infektionszahlen. Der Vorfall zeigt aber, dass Zugangsdaten für KI-Coding-Assistenten inzwischen als eigenständiges Angriffsziel gelten, nicht mehr nur als Beifang neben Cloud- und Krypto-Zugängen.
