Session-Hijacking bei KI-Assistenten führt zu Shai-Hulud-Infektion

Ein Angreifer kaperte die aktive Sitzung eines KI-Programmierassistenten bei einem SaaS-Anbieter, schleuste präparierten Code ein und verbreitete den Wurm „Shai-Hulud“ in rund 100 Repositories.

Ablauf des Angriffs: Vom KI-Vorschlag zur Repository-Übernahme

• Session-Hijacking: Der Angreifer übernahm die aktive Sitzung eines KI-Coding-Assistenten bei einem ungenannten SaaS-Dienstleister.
• Manipulierte Abhängigkeit: Der Assistent empfahl dem Entwickler ein vom Angreifer präpariertes PyPI-Paket. Sobald die Empfehlung akzeptiert wurde, installierte sich ein Infostealer und entwendete langlebige GitHub-OAuth-Tokens.
• Automatische Ausbreitung: Mit den gestohlenen Zugriffsrechten schleuste der Angreifer den Wurm „Shai-Hulud“ in etwa 100 interne Code-Repositories ein, um Quellcode und vertrauliche Zugangsdaten abzugreifen.
• Zweite Infektionswelle: Der Angreifer vergiftete zusätzlich ein Paket im offiziellen Unternehmens-Namespace. Ein anderer Entwickler zog die kompromittierte Version, was eine zweite Infektionskette auslöste.

Bedrohungskontext: KI als aktiver Angriffsvektor

Der Vorfall verdeutlicht eine von Mandiant beobachtete Entwicklung: Cyberkriminelle nutzen Generative KI nicht mehr nur zur Arbeitsbeschleunigung oder für Phishing, sondern binden Large Language Models (LLMs) direkt in Schadsoftware und Live-Angriffe ein. Varianten der Wurm-Familie „Shai-Hulud“ fielen zuletzt dadurch auf, dass sie gezielt Entwickler-Tools, CI/CD-Pipelines, Cloud-Konfigurationen und KI-Dateien (darunter Hooks für Claude Code und Visual Studio Code) nach Credentials durchsuchten.

Empfehlungen für KI-unterstützte Entwicklung

• Kryptografische Verifizierung: Sämtliche von KI-Systemen vorgeschlagenen Drittanbieter-Bibliotheken vor der Installation automatisiert gegen Prüfsummen und freigegebene Allowlists abgleichen.
• Trennung von Secrets: API-Schlüssel, OAuth-Tokens und Anmeldedaten strikt aus dem direkten Zugriffsbereich von Entwickler-Erweiterungen und KI-Plugins isolieren.
• Interne Paket-Proxies: Den Download externer Abhängigkeiten ausschließlich über kontrollierte, interne Enterprise-Repositories umleiten.

„Der Vorfall zeigt die Dringlichkeit, KI-gestützte Code-Generierung und automatische Paketempfehlungen als potenzielle Einfallstore in der Software-Lieferkette abzusichern.“

Mandiant Threat Research

(red)