SAP npm-Angriff: Bun Stealer kaperte vier Pakete am 29. April
Veröffentlicht am: 16.07.2026 um 04:56 Uhr | Redaktion boerse-global.de
Die Täter nutzten automatisierte CI/CD-Pipelines, um einen spezialisierten Credential-Stealer zu verbreiten – und trafen damit eine Schwachstelle, die viele Unternehmen betrifft.
Vier Pakete, ein Ziel: Der Angriff auf SAP npm
Am 29. April 2026 entdeckten Sicherheitsforscher Schadcode in vier offiziellen SAP npm-Paketen: mbt 1.2.48, @cap-js/db-service 2.10.1, @cap-js/postgres 2.2.2 und @cap-js/sqlite 2.2.2. Die Angreifer hatten den GitHub-Actions-Release-Workflow der betroffenen Repositories gekapert.
Ermöglicht wurde der Coup durch ein fehlendes manuelles Freigabegate in der CI/CD-Pipeline. Ohne menschliche Kontrolle konnten die Täter manipulierte Versionen der Software ausliefern – und einen Credential-Stealer direkt in die produktionsreifen Pakete einschleusen.
Bun statt Node: Die Tarnung des Schädlings
Der eingesetzte Malware-Stamm, von Forschern als Bun Stealer bezeichnet, setzte auf eine ungewöhnliche Laufzeitumgebung: Statt des Standard-Node.js nutzte er die Bun-Runtime. Ein kluger Schachzug, denn viele Sicherheitsmonitoring-Tools sind primär auf Node-Umgebungen ausgelegt und erkennen Bedrohungen in Bun-basierten Prozessen seltener.
Der Fall zeigt eindrucksvoll, wie gezielt Angreifer technische Lücken in automatisierten Prozessen ausnutzen, um sensible Unternehmensdaten zu entwenden. Dieses kostenlose E-Book unterstützt IT-Verantwortliche dabei, Sicherheitslücken proaktiv zu schließen und aktuelle gesetzliche Anforderungen umzusetzen. IT-Sicherheit stärken und Unternehmen schützen
Nach der Ausführung sammelte der Schädling sensible Daten ein: npm- und GitHub-Tokens sowie Cloud-Zugangsdaten. Um bei der Datenexfiltration unentdeckt zu bleiben, verschlüsselten die Angreifer die Beute mit AES-256-GCM. Die gestohlenen Daten schickten sie dann in das eigene GitHub-Repository des Opfers zurück – eine Taktik, die sich nahtlos in legitimen Entwicklungsverkehr einfügt.
Die zweite Welle: Von vier auf 170 Pakete
Der April-Vorfall war nur der Auftakt. Bereits im Mai 2026 weiteten die Angreifer ihre Kampagne massiv aus – auf mehr als 170 Pakete. Die Sicherheitsanalyse zeigt: Die Kombination aus vertrauenswürdigen Publishing-Integrationen und automatisierten CI/CD-Workflows bleibt ein Einfallstor erster Güte.
Neben technischen Manipulationen rücken auch rechtliche Rahmenbedingungen wie der EU AI Act zunehmend in den Fokus der IT-Sicherheit. Erfahren Sie in diesem kostenlosen Report, welche neuen Cyberrisiken und gesetzlichen Pflichten jetzt konkret auf Ihr Unternehmen zukommen. Gratis-Report zu neuen Cyberrisiken anfordern
Die Lehre für Unternehmen: Automatisierung beschleunigt Entwicklung, doch ohne manuelle Prüfschritte wird aus Effizienzgewinn schnell ein Sicherheitsrisiko. Wer auf Supply-Chain-Sicherheit setzt, kommt an manuellen Freigabegates nicht vorbei – auch wenn sie den Workflow verlangsamen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
