Microsoft und NPM: Ein Überblick über das aktuelle Gefahrenbild

Wenn wir in diesen Tagen über die Aktivitäten von Microsoft im Entwicklerbereich sprechen, machen die Redmonder keine allzu gute Figur. Dabei standen in der Vergangenheit bei uns vor allem die schweren Probleme von GitHub und die diversen Fettnäpfchen von GitHub Copilot im Fokus. Neben dem Krach mit diversen Sicherheitsforschern schwelt daneben aber noch ein anderes Problem, was eine weitreichende sicherheitstechnische Dimension hat und was wir so noch nicht genauer besprochen haben.

Gemeint sind die aktuellen Lieferkettenangriffe, die man in den Medien oft als Miasma und Mini-Shai-Hulud lesen kann und die vor allem den Paketmanager NPM (aka Node Package Manager) heimsuchen. In diesem Editorial soll es in altbekannter FAQ-Form deswegen in einfacher Sprache einmal darum gehen, was der Angriffsvektor ist, welche zentrale Schlüsselrolle Microsoft hier zukommt und wie brandgefährlich die aktuelle Lage tatsächlich ist.

Was passiert hier gerade?

Bei der Entwicklung einer Software spricht man zwar meistens von den großen Frameworks und Toolkits wie .NET, Qt oder GTK, allerdings fängt die Basis bei viel kleineren Komponenten wie einzelnen Bibliotheken an. Softwareentwickler sprechen in diesem Zusammenhang dann von Dependencies oder Abhängigkeiten. Solche Kleinstkomponenten werden dann über entsprechende Paketmanager verwaltet. Für Microsoft-Fans dürfte das bei .NET verwendete NuGet das vertrauteste Beispiel sein, andere wären PyPI für Python oder Cargo für Rust.

NPM ist der wichtigste von insgesamt drei relevanten Paketmanagern – die anderen sind PNPM und Yarn – von Node.js, und dieser wird aktuell massiv von den Malware-Ablegern Mini-Shai-Hulud und Miasma angegriffen, die von der Konstruktion her klassische Computerwürmer sind. Der Angriffsvektor selbst ist ein Lieferkettenangriff oder Supply-Chain-Attack, wo über diese Kleinstkomponenten letztlich größere Software und Dienste kompromittiert werden sollen.

Lieferkettenangriffe sind extrem gefährlich und nur sehr schwer abzuwehren. Zum einen kann man nie genau sagen, welcher konkrete Angriffsvektor am Endpunkt selbst erreicht werden soll. Theoretisch sind von der Backdoor über Datenlecks bis hin zu Botnetzen etwa für DDoS-Attacken alle Optionen denkbar. In diesem Fall kommt erschwerend hinzu, dass die Hacker ihre Malware tatsächlich quelloffen veröffentlicht haben und mittlerweile erste Forks und Modifikationen hiervon existieren.

Gibt es bekannte Beispiele für Lieferkettenangriffe?

Ja, darunter Piriform im Jahr 2017, wo eine verseuchte Version von CCleaner mit einer Backdoor an Windows-Nutzer ausgeliefert wurde, sowie Solarwinds im Jahr 2020 und ASUS im Jahr 2019. Das bekannteste Beispiel der jüngeren Geschichte dürften aber die xzutils aus dem Jahr 2024 sein, wo die Backdoor nur durch Zufall von einem deutschen Microsoft-Entwickler entdeckt wurde und zu einer der schwersten Sicherheitslücken überhaupt wurde. Führende Sicherheitsexperten gingen davon aus, dass wir vielleicht nur zwei oder drei Wochen von einer echten Katastrophe entfernt waren.

Wie spielt Microsoft hier rein?

Während man im Regelfall Google mit möglichen Auswirkungen auf die Webentwicklung und die Zukunft des offenen Internets in Verbindung bringt, kommt der eiserne Griff für diesen Bereich tatsächlich aus Redmond. Microsoft hat ähnlich wie bei .NET eine weitreichende Kontrolle geschaffen, die sich über viele kleine Kanäle zieht.

• Mit NPM hat man die mit Abstand wichtigste Quelle im Jahr 2020 übernommen und in GitHub eingegliedert. Sämtliche wichtigsten JavaScript-Frameworks wie Angular, Vue.js, Ember, Express, React oder Electron sind von Node.js und damit NPM abhängig.
• Mit TypeScript kontrolliert man mittlerweile die zentrale Standardsprache für die Entwicklung, die zumindest teilweise auch JavaScript in zentralen Bereichen verdrängt.
• Visual Studio Code wurde mit der Zeit zum beliebtesten Editor für Webentwickler und führt diesen Ruf neben Konkurrenten wie WebStorm von JetBrains bis heute fort.
• Microsoft kontrolliert die Entwicklung von mobilen Apps, Desktop-Apps und Progressive Web Apps in zentralen Bereichen. Mit Meta gibt es bei React Native auch für Windows eine enge Zusammenarbeit, während man bei Electron, auch wenn es 2019 an die OpenJS Foundation abgegeben wurde, weiterhin einen großen Einfluss ausübt. Bei Electron selbst wirbt man auch zunehmend mit seiner KI-Offensive.
• Auch bei Chromium ist der Einfluss gewachsen, nachdem man im vergangenen Jahr gemeinsam mit anderen ein neues Projekt unter dem Dach der Linux Foundation gegründet hat, das die Zusammenarbeit besser steuern soll.

Kurzum: Microsoft ist in der Webentwicklung kein kleiner Fisch, sondern der zentrale Akteur, an dem (fast) kein Weg vorbei führt. Was man ursprünglich mit dem Internet Explorer mal erreichen wollte, hat man jetzt in noch viel besserer Weise geschafft – und selbst Google ist mehr oder minder nur noch Kunde im eigenen Haus.

Schön. Und wie gefährlich ist das jetzt?

Nach bisherigen Erkenntnissen greifen Miasma und Mini-Shai-Hulud vor allem Unternehmen an, darunter SAP, Axios, TanStack und Microsoft selbst. Angesichts der Offenlegung des Quellcodes und möglicher Forks müssen wir aber mittlerweile zwingend von einem weitaus größeren Streuradius ausgehen, je nach dem, auf welche Zielgruppen es besagte Forks abgesehen hätten. Hier kommt dann zum Tragen, wie verbreitet Electron und React Native alleine in der mobilen und der Desktop-Entwicklung eigentlich sind.

Die Liste der prominenten Apps ist lang: Spotify, Steam, Claude Desktop, ChatGPT, Signal, WhatsApp, Slack, Wire, Trello, Microsoft Teams, Visual Studio Code, GitHub Desktop, Joplin, Notion, Capacities, Epic Games Launcher, Discord, zahlreiche Browser und sogar Teile von Windows, wenn sie noch auf React basieren. Das sind nur einige Beispiele, die aber mal verdeutlichen sollen, was hier potenziell bei der Verbreitung dieser Dienste auf dem Spiel stehen würde.

Selbst mit vermeintlich nativem Code wäre man aber nicht sicher. Apps wie OBS Studio, VLC Media Player oder digiKam verwenden unterschiedliche Binnenimplementierungen wie die QtWebEngine oder das Chromium Embedded Framework, um bestimmte Funktionen umzusetzen. Wieder andere Apps greifen in Windows auf die WebView2-Komponente zu. Der potenzielle Streuradius ist also extrem groß. Unabhängig davon gab es einzelne Vorfälle auch bei anderen Paketmanagern wie PyPI unter Python.

Worin liegt bei Microsoft jetzt das genaue Problem?

Um das genauer zu verstehen, lohnt sich ein Blick auf .NET, den anderen und bekannteren Stack, der Microsoft untersteht. Die .NET-Entwicklung hat ein zentrales Team unter der Führung von Scott Hunter, einen festen Release- und Sicherheitszyklus und eine große FOSS-Community rund um die .NET Foundation. Selbst wenn mal was in die Hose geht wie zuletzt bei der PowerShell, wird es korrigiert und nachgebessert. Einen Faupax leistet man sich Redmond hier kaum.

NPM gehört wiederum zu GitHub und damit zur CoreAI-Division, was das zuständige Tochterunternehmen auch selbst weiterhin angibt. Genau da sind wir in dem Punkt, der jedem Angst machen sollte, der sich mit dem aktuellen Zustand von GitHub beschäftigen muss. Wir dokumentieren da ja seit Wochen schon Sicherheitsprobleme, Probleme bei Personal und Infrastruktur, und zuletzt auch einen möglichen Überlebenskampf samt drohendem Kollaps, in dem sich GitHub laut Recherchen u.a. von Tom Warren von TheVerge befinden soll. Dramatischer kann man den Zustand eigentlich kaum noch ausdrücken.

Fakt ist jedenfalls, dass die Lieferkettenangriffe auf NPM, die sich mindestens bis September 2025 zurückverfolgen lassen (siehe mein Editorial von neulich), auf ein Umfeld bei GitHub treffen, das sich unter der nach Berichten chaotischen Führung von Jay Parikh mehr um sich selbst dreht und nicht so sehr nach außen orientiert zu sein scheint. GitHub hat dabei durchaus frisches Personal bekommen. Ein prominenter Name ist Scott Hanselman, der, wie er vor zwei Wochen in einem Video auf YouTube verraten hat, zu je 50 % bei Windows und GitHub in einer neuen Rolle bei Microsoft beschäftigt ist.

Trotzdem bekommt man abseits der üblichen Sicherheitsinformationen nicht wirklich mit, dass die führenden Verantwortlichen um CEO Satya Nadella schon Ideen haben, wie sie bei NPM und ggf. auch GitHub entschieden durchgreifen wollen. Dass manche in Redmond aktuell anscheinend auch mit den Nerven zu Fuß unterwegs sind und sich rund um das MSRC lieber Wortgefechte mit den versammelten Sicherheitsforschern liefern, die sich noch untereinander solidarisieren und kostenlos Leaks von Sicherheitslücken verteilen, macht es nicht unbedingt besser.

Wie kann ich mich schützen?

Genau das ist die Gretchenfrage, die man momentan nicht wirklich beantworten kann. Das Kernproblem bleibt, dass man angesichts der Forks und der allgemeinen Charakteristik von Supply-Chain-Angriffen nie genau sagen kann, welcher Angriffsvektor am Ende rauskommen soll. Die Möglichkeiten reichen weit bis in Bereiche wie Cyberspionage, Botnetze für DDoS-Attacken, Datenlecks, Identitätsdiebstahl, Ransomware (bzw. Verschlüsselungstrojaner als deutscher Name) oder Backdoors. Neben einem guten Monitoring der Lage muss man auch bei den einzelnen Apps, die man verwendet, schauen, ob deren Entwickler selbst Maßnahmen ergreifen oder betroffen waren.

De facto kann man letztlich nur einige allgemeine Empfehlungen geben. Wichtigster Punkt ist momentan, JavaScript und TypeScript an die kurze Leine zu nehmen und, wo das möglich wäre, von Apps, die Electron oder React Native verwenden, auf andere Alternativen wie Rust zu wechseln. Das geht nicht immer, ist aber derzeit die beste Chance, die man hat. Weitere Maßnahmen mit Backups und anderen Redundanzen gehören ebenfalls dazu.

Zudem muss man in einem wichtigen Punkt aufmerksam sein: Grundsätzlich gilt weiterhin die Aussage, dass man seine Software weiterhin auf dem aktuellsten Stand halten sollte – angesichts der Supply-Chain-Angriffe muss man aber vorsichtiger sein. Ein abschreckendes Beispiel, was falsches Vertrauen bedeuten kann, hatten wir 2013 zum Beispiel mit dem Orbit Downloader. Das war kein Lieferkettenangriff, hier hat aber eine früher vertrauenswürdige Software ab einer gewissen Version Malware nachgeladen und private Rechner dann für DDoS-Angriffe missbraucht. Der Effekte zu heute wäre also identisch.

Am Ende des Tages ist die Wahrheit aber einfach: Momentan hängt alles davon ab, ob und wie Microsoft bei GitHub die Kurve bekommt und ob NPM mit anderen Elementen hoffentlich wie .NET aus GitHub in eine eigene Gruppe herausgelöst wird. Derzeit sorgt das Chaos für einen taumelnden Riesen und man kann schlicht nicht deutlich genug betonen, wie brandgefährlich die aktuelle Lage auch mit Blick auf kritische Prozesse und Infrastrukturen aktuell tatsächlich ist.

Schlusswort

Wir bleiben weiter an der Sache dran und schauen genau darauf, wie und in welcher Form Microsoft als das zentral verantwortliche Unternehmen angesichts von Mini-Shai-Hulud und Miasma durchgreifen will. Angesichts des momentanen Zustands von GitHub und dem sonstigen Gehabe in Redmond hat man darin zwar aktuell wenig Vertrauen, aber am Ende ist es das Unternehmen von Satya Nadella, was einzig und allein die Richtung vorgeben kann. Andere haben da zu wenig Einfluss.

Vielleicht konnte ich euch mit diesem Editorial jetzt einen besseren Überblick über das aktuelle Problem und die de facto tiefgreifende Gefahrenlage geben. Dass dieser Beitrag hier den einen oder anderen durchaus verunsichern kann, dessen sind wir uns durchaus bewusst, aber wir müssen am Ende das Beste draus machen und müssen auch reinen Wein einschenken. Bei Fragen schreibt es gerne in die Kommentare.

DrWindows News per WhatsApp: Abonniere unseren Kanal.

Über den Autor

Kevin Kozuszek

Seit 1999 bin ich Microsoft eng verbunden und habe in diesem Ökosystem meine digitale Heimat gefunden. Bei Dr. Windows halte ich euch seit November 2016 über alle Neuigkeiten auf dem Laufenden, die Microsoft bei seinen Open Source-Projekten und Microsoft Edge zu berichten hat. Beiträge über Mozilla, Europas Digitalwirtschaft und inklusive Informatik runden meinen Bereich ab.