IronWorm: npm-Wurm mit eBPF-Rootkit klaut KI-Tokens

Q: Wie behebe ich das Problem konkret?

Installiere künftig mit npm ci statt npm install, nutze --ignore-scripts, um preinstall-Hooks zu blockieren, und rotiere nach verdächtigen Installationen alle API-Keys, npm-Tokens und SSH-Schlüssel. Auf CI/CD-Runnern zusätzlich Secrets neu setzen.

Sicherheitsforscher von JFrog haben einen besonders fiesen Schädling im npm-Paketbaum entdeckt: IronWorm. Er ist in Rust geschrieben, versteckt sich per eBPF-Rootkit tief im Linux-Kernel und funkt seine Beute über das Tor-Netz nach draußen. JFrog nennt ihn treffend „Shai-Huluds rostigen Cousin“.

So tarnt sich der Wurm

Mindestens 36 npm-Pakete wurden infiziert. Der Angriff startete laut JFrog über ein gekapertes Konto namens asteroiddao, das Paket-Versionen mit einer Rust-Binärdatei veröffentlichte — ausgeführt über den berüchtigten preinstall-Hook beim Installieren.

Das eigentlich Perfide ist die Tarnung: IronWorm missbraucht eBPF (extended Berkeley Packet Filter) im Linux-Kernel, um Prozesse, Dateien und Netzwerkverkehr vor deinen Sicherheits-Tools zu verstecken. Was nicht sichtbar ist, kann man schwer stoppen.

Eine dreiste Spur falscher Fährten

Die manipulierten Commits tragen als Autor den Namen „claude“ — und gefälschte Zeitstempel, die bis zu 13 Jahre in die Vergangenheit reichen, obwohl sie erst vor wenigen Tagen hochgeladen wurden. Klassisches Verwirrspiel, um in der Git-Historie unterzugehen.

DAS will IronWorm stehlen

Der Wurm zielt auf 86 Umgebungsvariablen und 20 Anmelde-Dateien. Im Visier:

Schlüssel für OpenAI, Anthropic und AWS
npm-Tokens und Vault-Konfigurationsdateien
SSH-Schlüssel
Exodus-Krypto-Wallet-Dateien

Und er bleibt nicht stehen: IronWorm ist selbst-verbreitend — gestohlene Tokens nutzt er, um weitere Pakete zu vergiften. Besonders die Arweave-nahen npm-Bibliotheken standen im Fokus.

So schützt du dich JETZT

Auch wenn du kein Profi-Entwickler bist: Wer npm install ausführt, ist potenziell betroffen. Diese Schritte helfen sofort:

Lockfiles prüfen: Installiere mit npm ci statt npm install, damit nur geprüfte Versionen landen.
preinstall-Skripte entschärfen: Mit npm install --ignore-scripts verhinderst du, dass Pakete beim Installieren beliebigen Code ausführen.
Schlüssel rotieren: Hattest du zuletzt verdächtige Installationen, tausche API-Keys, npm-Tokens und SSH-Schlüssel aus.
CI/CD im Blick: Build-Server sind das Hauptziel — prüfe Runner-Logs auf ungewöhnliche Tor-Verbindungen.

Hinweis: Dieser Beitrag beschreibt eine aktive Bedrohung auf Basis der Veröffentlichungen von JFrog und Sicherheitsmedien. Konkrete Paketnamen ändern sich laufend — prüfe die offiziellen Advisories für die aktuelle Liste.

Häufige Fragen

Welche Systeme sind betroffen?

Entwickler-Rechner und CI/CD-Pipelines, die infizierte npm-Pakete installieren. JFrog meldet mindestens 36 betroffene Pakete, der Einstieg lief über das gekaperte Konto asteroiddao. Das eBPF-Rootkit zielt auf Linux.

Wie merke ich, ob ich verwundbar bin?

Prüfe, ob du zuletzt npm-Pakete ohne Lockfile installiert hast und ob auf Build-Servern ungewöhnliche Tor-Verbindungen oder versteckte Prozesse auftauchen. Da IronWorm sich per eBPF tarnt, helfen Kernel- und Netzwerk-Logs mehr als reine Prozesslisten.

Wie behebe ich das Problem konkret?

Installiere künftig mit npm ci statt npm install, nutze –ignore-scripts, um preinstall-Hooks zu blockieren, und rotiere nach verdächtigen Installationen alle API-Keys, npm-Tokens und SSH-Schlüssel. Auf CI/CD-Runnern zusätzlich Secrets neu setzen.

Was macht IronWorm so gefährlich?

Er ist in Rust geschrieben, versteckt sich per eBPF-Rootkit vor Sicherheits-Tools, kommuniziert über Tor und ist selbst-verbreitend: Mit gestohlenen Tokens vergiftet er weitere Pakete. Zudem fälscht er Commit-Autor (claude) und Zeitstempel.

WURM-ALARM! Ein Rust-Schädling tarnt sich JETZT im Linux-Kernel und klaut deine KI-Schlüssel — über das Tor-Netz