Supply-Chain-Angriffe Juli 2026: Doppelt so viele wie im Vorjahr

Die Angreifer nutzen manipulierte Python-Pakete und gefälschte Exploit-Codes, um einen Remote Access Trojan (RAT) namens ChocoPoC zu verbreiten.

Die Infektionskette: Wie ChocoPoC Forscher ködert

Sicherheitsfirmen wie Sekoia und YesWeHack haben die Kampagne im Detail analysiert. Die Täter nutzen kompromittierte Entwicklerkonten, um mindestens sieben GitHub-Repositories zu hosten. Diese geben vor, Proof-of-Concept-Exploits für verschiedene kritische Sicherheitslücken (CVEs) anzubieten.

Die hinterlegten Repositorys enthalten Code, der die Installation schädlicher Python-Pakete aus dem Python Package Index (PyPI) auslöst. Besonders die Pakete „frint" und „skytext" dienen als Einfallstore für den Trojaner. Einmal installiert, setzt die Malware auf ausgeklügelte Tarnung: Sie nutzt Environmental Key Gating, Anti-Debugging-Techniken und Timestomping, um der Erkennung zu entgehen.

Das Paket „skytext" wurde rund 2.400 Mal heruntergeladen. Die meisten Infektionen ereigneten sich auf Linux-Systemen. Der Trojaner sichert sich dauerhaften Zugriff und stiehlt sensible Daten – darunter Browser-Zugangsdaten und Entwicklerumgebungen. Für die Kommunikation mit den Angreifern nutzt die Malware Mapbox-Datensätze.

Zielgerichtete Schwachstellen und frühere Aktivitäten

Die Kampagne lockt Forscher mit vermeintlichen Exploit-Codes für mehrere spezifische Sicherheitslücken. Dazu gehören unter anderem CVE-2025-64446, CVE-2025-55182 und CVE-2026-48908.

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Experten-Checkliste jetzt kostenlos anfordern

Ermittler gehen davon aus, dass die Kampagne bereits seit Ende 2025 aktiv ist. Frühere Versionen des Angriffs nutzten andere bösartige PyPI-Pakete wie „slogsec" und „logcrypt.cryptography". Die Malware kann beliebige Shell-Befehle ausführen und Dateien von infizierten Rechnern in die Infrastruktur der Angreifer hochladen.

Angriffswelle auf die Lieferkette: Open Source im Visier

Die Entdeckung von ChocoPoC fällt in eine Serie weiterer hochkarätiger Supply-Chain-Angriffe Anfang Juli 2026. Microsoft warnte vor einer Kompromittierung des Mistral AI Python-Pakets (Version 2.4.6). Dieser Vorfall ist Teil der „Shai-Hulud"-Kampagne, die Berichten zufolge mehr als 170 Pakete betrifft. Die Malware im Mistral-Paket stiehlt Zugangsdaten – umgeht dabei aber gezielt Systeme in Russland und löscht Dateien auf Rechnern in Israel oder im Iran.

Parallel dazu entdeckten Forscher eine Kampagne, die mit nordkoreanischen Angreifern in Verbindung gebracht wird: „Contagious Trader". Dabei verteilten die Täter 30 schädliche npm-Pakete über gefälschte Polymarket-Arbitrage-Bots auf GitHub. Ein Paket namens „clob-client-math" stahl Krypto-Wallet-Keys, AWS-Zugangsdaten und SSH-Schlüssel von mindestens 53 Entwicklern.

Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report herunterladen

Die Rolle der KI: Wenn Bots blind vertrauen

Aktuelle Berichte unterstreichen die wachsende Bedeutung von KI-Coding-Agenten für Sicherheitslücken in der Lieferkette. Branchenanalysten verzeichnen für das erste Halbjahr 2026 mehr als doppelt so viele solcher Kampagnen wie im Vorjahr. Die KI-Agenten überspringen häufig die Paketüberprüfung – und machen sich damit angreifbar für „Slopsquatting". Bei dieser technique nutzen Angreifer KI-Halluzinationen aus, um Entwicklern nicht existierende oder schädliche Abhängigkeiten vorzuschlagen.

de | wissenschaft | 69671334 |