In einer deutlichen Eskalation ist die Zahl der Open-Source-Malware in diesem Jahr im Vergleich zum Vorquartal um 140 % gestiegen.
Sonatype, ein auf KI fokussiertes DevSecOps-Unternehmen, hat den Open Source Malware Index für das 3. Quartal 2025 veröffentlicht. Dieser weist insgesamt 34.319 neue Open-Source-Malware-Pakete aus, die in großen Registries wie npm, PyPI und Hugging Face identifiziert wurden. Damit steigt die kumulierte Zahl der von Sonatype seit 2019 entdeckten Schadpakete auf 877.522.
„Die Ära des lauten, opportunistischen Schadcodes ist vorbei. Angreifer sind geduldig, organisiert und setzen zunehmend KI ein, um sich in genau den Werkzeugen zu verankern, auf die Entwickler angewiesen sind“, sagte Brian Fox, CTO und Mitgründer von Sonatype. „Sie verstecken schädliche Payloads offen sichtbar und machen aus vertrauenswürdigen Open-Source-Abhängigkeiten Zustellmechanismen für Datendiebstahl und Persistenz. Die Verteidiger müssen dieser Raffinesse mit KI-gestützter Transparenz und proaktiven Kontrollen begegnen, die Bedrohungen stoppen, bevor sie überhaupt die Umgebung eines Entwicklers erreichen.“
Shai-Hulud auf dem Höhepunkt
Laut dem Index, eine neue Welle von Angriffen auf die Software-Lieferkette im npm-Ökosystem zeigte die zunehmende Raffinesse von Cyberbedrohungen. Die Kampagne zur Übernahme der Pakete chalk und debug, von der Komponenten mit mehr als zwei Milliarden wöchentlichen Downloads betroffen waren, demonstrierte, wie legitime Projekte ausgenutzt werden können, um Malware in großem Maßstab zu verbreiten. Die Shai-Hulud-Kampagne zeigte unterdessen selbstverbreitendes Verhalten: Sie exfiltrierte Zugangsdaten und veröffentlichte neue kompromittierte Pakete in verschiedenen Repositories.
Datendiebstahl entwickelte sich im 3. Quartal zum Hauptziel: 35 % der erkannten Schadpakete konzentrierten sich auf die Exfiltration von Daten. Dieser Trend deutet auf eine Verlagerung hin zu Spionage und Monetarisierung, da Angreifer zunehmend nach Zugangsdaten, Tokens und proprietären Informationen von Entwicklern suchen.
Die Untersuchung von Sonatype hob außerdem eine Zunahme mehrstufiger und auf Tarnung ausgelegter Malware hervor. Dropper machten in diesem Quartal 38 % der Bedrohungen aus, während die Zahl von Paketen mit Backdoors gegenüber dem 2. Quartal um 143 % stieg. Das deutet darauf hin, dass Angreifer ihre Methoden verfeinern, um sich über scheinbar harmlose Abhängigkeiten dauerhaften, unbemerkten Zugriff zu sichern.
Rückgang und Niedergang
Im Gegensatz dazu ist Malware mit geringem Aufwand wie Kryptominer auf dem Rückzug und machte im 3. Quartal nur 4 % der Bedrohungen aus – gegenüber 6 % im Vorquartal. Die Daten zeigen, dass Angreifer einfache, auffällige Exploits zugunsten unauffälligerer und profitablerer Operationen aufgeben.
Sonatypes Abteilung für Sicherheitsforschung, die das Open-Source-Malware-Tracking durchführt, gibt an, dabei von seiner Repository Firewall unterstützt zu werden. Diese Lösung soll schädliche Open-Source-Komponenten und KI-Modelle blockieren, bevor sie Entwickler erreichen. Allein im 3. Quartal half die Repository Firewall Kunden dabei, 110.370 Malware-Angriffe zu verhindern, von denen sich fast die Hälfte gegen Organisationen aus dem Finanzdienstleistungssektor richtete.
Anthropic veröffentlichte eine brisante Studie , die zeigte, dass Hacker weitaus weniger vergiftete Trainingsdokumente benötigen als erwartet, um Sprachmodelle mit einer Hintertür zu versehen.