Shai-Hulud-Wurm trifft PyTorch Lightning: Malware tarnt sich als Claude Code
KI-generiert mit ChatGPT
Forscher von Aikido, Socket und StepSecurity haben zwei kompromittierte Versionen von PyTorch Lightning auf PyPI gemeldet. Die Versionen 2.6.2 und 2.6.3 enthielten einen Credential-Stealer namens „Mini Shai-Hulud“. Sicherheitsforscher sehen darin einen Ableger der ursprünglichen Shai-Hulud-Welle aus dem Jahr 2025. Nach Angaben der Maintainer war die fehlerhafte Version 42 Minuten lang verfügbar.
Semgrep veröffentlichte später eine ausführliche Malware-Analyse. Der Scanner von Socket hatte 18 Minuten nach der Veröffentlichung Alarm geschlagen.
Ausgelöst wird die Malware durch einen einfachen Import. Schon import lightning aktiviert den Payload. Ein Python-Dropper in lightning/__init__.py lädt die Bun-Runtime von GitHub. Anschließend führt der Dropper eine 11 MB große, verschleierte JavaScript-Datei aus.
AnzeigeWas die Malware sammelt
Die Liste der gestohlenen Daten ist umfangreich. Betroffen sind GitHub-Tokens, npm-Tokens und SSH-Schlüssel. Hinzu kommen Zugangsdaten für AWS, Azure und Google Cloud sowie Docker- und Kubernetes-Secrets sowie alle .env-Dateien. Vergleichbare Muster zeigten sich bereits beim Angriff auf die Lieferkette von LiteLLM.
Für KI-Entwickler ist dabei ein Detail besonders heikel. Die Malware tarnt jeden vergifteten Commit mit einer hartkodierten Git-Identität, die Claude Code von Anthropic imitiert. Zusätzlich schreibt die Schadsoftware Payload-Dateien in .claude/settings.json und .vscode/tasks.json. Damit treffen die Angreifer gezielt KI-Entwicklungsumgebungen, in denen genau diese beiden Tools dominieren.
Wie sich der Wurm zwischen npm und PyPI bewegt
Der Einstieg über PyPI ist neu für die Shai-Hulud-Familie. Findet der Wurm Publish-Token für npm auf dem System, dann injiziert er sich in jedes erreichbare npm-Paket. Anschließend erhöht er die Patchversion und veröffentlicht das Paket neu. Auch das Paket intercom-client@7.0.4 auf npm wurde am selben Tag kompromittiert. Der Fall erinnert an die LiteLLM-Lücke, bei der nur 36 Stunden zwischen Disclosure und ersten Angriffen lagen und Angreifer das Zeitfenster konsequent ausnutzten.
Die eigene Analyse von Socket sowie Berichte von Aikido, StepSecurity und SafeDep ordnen die Lightning-Welle der Gruppe TeamPCP zu. Trend Micro und Unit 42 von Palo Alto Networks dokumentieren die größere TeamPCP-Kampagne, zu der der Vorfall gehört. Socket selbst hält die konkrete Lightning-Zuordnung noch für nicht verifiziert und schließt einen bewussten False Flag nicht aus. Im GitHub-Issue von Lightning AI tauchte zusätzlich ein Link in das Tor-Netzwerk auf. Dort wird eine Kooperation mit LAPSUS$ erwähnt. Diese Aussage stammt allerdings von den mutmaßlichen Angreifern selbst.
Was Entwickler jetzt tun sollten
PyPI hat die schädlichen Versionen inzwischen gelöscht. Die letzte sichere Version ist die 2.6.1. Wer eine der betroffenen Versionen installiert hatte, sollte sämtliche zugänglichen Credentials rotieren. Dies umfasst GitHub-PATs, npm-Token, AWS-Schlüssel und alle Cloud-Zugangsdaten in .env-Dateien oder Umgebungsvariablen.
Die Maintainer von Lightning AI erklären in ihrem Blog zum Vorfall, dass nicht der Quellcode auf GitHub kompromittiert wurde. Vielmehr verschafften sich die Angreifer Zugang zu den Publishing-Credentials für PyPI. Ähnliche Muster zeigten sich bereits beim Angriff auf Elementary-data zu Jahresbeginn.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
