Es ist genau das Szenario, vor dem DevSecOps-Leute seit Jahren warnen. Am 1. Juni 2026 haben Sicherheitsforscher entdeckt, dass der berüchtigte Mini-Shai-Hulud-Wurm in einer neuen Variante zugeschlagen hat — und diesmal trifft es nicht irgendein Hobby-Paket, sondern den offiziellen npm-Namensraum von Red Hat. Die Kampagne trägt den Namen „Miasma: The Spreading Blight“. Wir erklären, was passiert ist und wie du deine Build-Pipeline schützt.
SCHOCK: Vertrauen als Einfallstor
Wiz Research und andere Teams meldeten, dass unter dem Namensraum @redhat-cloud-services mindestens 32 Paket-Versionen mit unautorisierten Änderungen veröffentlicht wurden — Code, der nicht zum jeweiligen Quell-Repository passt. Diese Pakete bringen es zusammen auf rund 80.000 Downloads pro Woche. Betroffen sind Frontend-Bausteine, API-Clients und Entwickler-Werkzeuge.
Der Clou: Die Angreifer haben keine einzelnen Entwickler-Konten geknackt. Sie haben über kompromittierte GitHub-Actions-OIDC-Tokens direkt die CI/CD-Pipeline missbraucht, um die manipulierten Versionen zu publizieren. Ein gekaperter, eigentlich vertrauenswürdiger Namensraum ist deshalb so gefährlich: Du installierst im guten Glauben — und holst dir den Schädling ins Haus.
GEFAHR: Der Code läuft VOR deiner App
Die verseuchten Pakete enthalten ein Installations-Skript (preinstall), das beim npm install automatisch eine bösartige index.js startet — bevor auch nur eine Zeile deines eigenen Codes läuft. Genau deshalb reicht schon das reine Installieren aus, um aktiv zu werden.
Was der Schädling dann tut, ist ein regelrechter Rundumschlag bei deinen Zugangsdaten: Er greift GitHub-Actions-Secrets ab (darunter GITHUB_TOKEN und ACTIONS_RUNTIME_TOKEN), AWS-Zugangsschlüssel und Session-Tokens, Google-Cloud-Credentials samt Service-Account-Keys sowie Azure-Service-Principal-Daten. Zusätzlich nistet er sich als Dauer-Dienst ein — unter Linux als kitty-monitor.service, unter macOS als entsprechender LaunchAgent — und klinkt sich sogar in KI-Entwickler-Tools wie Claude, Codex, Gemini und Copilot ein.
SOFORT-CHECK: So schützt du deine Pipeline
1. Betroffene Versionen sofort meiden. Prüfe, ob du in den letzten Tagen Pakete aus dem @redhat-cloud-services-Namensraum installiert oder aktualisiert hast. Im Zweifel auf eine nachweislich saubere ältere Version pinnen.
2. Lockfiles und Installs prüfen. Schau in package-lock.json bzw. pnpm-lock.yaml nach den fraglichen Versionen und durchsuche CI-Logs nach verdächtigen preinstall-Skripten und unerwarteten Netzwerkverbindungen während der Builds.
3. Alle exponierten Secrets rotieren. Wenn auch nur der Verdacht besteht, dass ein verseuchtes Paket auf einem Runner lief: GitHub-Tokens, Cloud-Keys und Service-Account-Credentials neu ausstellen. Ein gestohlenes Token ist erst dann wertlos, wenn es zurückgezogen wurde.
4. Persistenz suchen. Fahnde auf Build-Hosts und Dev-Maschinen nach dem Dienst kitty-monitor und entferne ihn samt zugehöriger Dateien.
EXTRA-TIPP: preinstall-Skripte abschalten
Für CI-Umgebungen lohnt sich npm install --ignore-scripts, damit Pakete beim Installieren nicht ungefragt Code ausführen. Das hätte genau diese Angriffsklasse im Keim gestoppt.
FAZIT: Vertrauen ist gut, Pinning ist besser
Der Fall zeigt eindrücklich: Selbst der offizielle Namensraum eines Großkonzerns ist kein Freifahrtschein. Wer Lockfiles konsequent pflegt, Installations-Skripte in der CI abschaltet und Secrets eng begrenzt, übersteht solche Wellen deutlich entspannter. Prüfe heute Nacht deine Pipeline — und nicht erst, wenn die Cloud-Rechnung explodiert.
Häufige Fragen
Welche Pakete sind konkret betroffen?
Wie merke ich, ob ich kompromittiert bin?
Wie behebe ich das Problem konkret?
Was macht die Malware genau?
Quellen: