OpenAI bestreitet Datenexposition von Nutzern durch TanStack npm, Mini Shai-Hulud Supply-Chain-Angriff

OpenAI hat zugegeben, dass zwei Geräte von Mitarbeitern durch bösartige Versionen von TanStack npm-Paketen kompromittiert wurden.

Das Unternehmen besteht darauf, dass keine Beweise dafür gefunden wurden, dass Nutzerdaten, Produktionssysteme oder geistiges Eigentum manipuliert wurden.

Wurde OpenAI gehackt?

OpenAI hat Ajna dass böswillige Akteure zwei Geräte seiner Mitarbeiter im Rahmen einer massiven Software-Supply-Chain-Kampagne namens „Mini Shai-Hulud“ kompromittiert haben.

OpenAI hatte zuvor Kontrollen eingeführt, um die Exposition gegenüber Supply-Chain-Angriffen nach einem Vorfall mit Axios zu begrenzen, aber die beiden betroffenen Geräte der Mitarbeiter hatten die aktualisierten Konfigurationen, die den Download des bösartigen Pakets blockiert hätten, noch nicht erhalten.

Der Angriff zielte auf TanStackab, eine Open-Source-Bibliothek, die von Millionen von Entwicklern genutzt wird. Die Angreifer veröffentlichten 84 bösartige Versionen über 42 npm-Pakete, darunter das beliebte @tanstack/react-router, das wöchentlich über 12 Millionen Mal heruntergeladen wird.

Ein externer Forscher, der für StepSecurity arbeitet, entdeckte die bösartigen Pakete innerhalb von etwa 20 Minuten nach der Veröffentlichung und benachrichtigte die npm-Sicherheit direkt.

Dieser Angriff nutzte das Vertrauen der Nutzer in automatisierte Build-Systeme aus. Der bösartige Code wurde unter Verwendung der eigenen legitimen Veröffentlichungsschlüssel von TanStack veröffentlicht, was ihn wie ein offizielles Update aussehen ließ.

Mini Shai-Hulud ist sich selbst reproduzierende Malware, die Anmeldeinformationen wie GitHub-Tokens, Cloud-Schlüssel und SSH-Schlüssel stiehlt, sobald ein Entwickler oder CI/CD-System sie installiert. Die Malware versucht dann, sich in andere Pakete zu veröffentlichen, die das Opfer verwaltet.

Sicherheitsforscher berichten, dass die Kampagne Pakete in den npm- und PyPI-Ökosystemen kompromittiert hat. Neben OpenAI und TanStack hat der Angriff Code von Mistral AI, UiPath (NYSE: PATH), OpenSearch und Guardrails AI betroffen.

Forscher weisen darauf hin, dass die Payload einen persistenten Daemon installiert, der als „Dead-Man’s-Switch“ fungiert. Wenn ein Opfer einen gestohlenen GitHub-Token widerruft, kann die Malware einen Befehl auslösen, um das Home-Verzeichnis des Benutzers zu löschen.

Wurden OpenAI-Nutzerdaten kompromittiert? 

Nach dem Angriff beauftragte OpenAI eine externe Forensik-Firma, um bei der Untersuchung zu helfen. Das Unternehmen sagte, es habe keine Beweise dafür gefunden, dass seine Nutzerdaten zugänglich waren oder dass seine Produktionssysteme, sein geistiges Eigentum oder seine Software kompromittiert wurden.

Dennoch gelang es den Angreifern, einige Anmeldeinformationen aus internen Code-Repositories zu extrahieren, auf die diese Geräte Zugriff hatten. Dazu gehörten Code-Signing-Zertifikate für macOS-Apps.

Nun müssen Mac-Nutzer ihre ChatGPT Desktop-, Codex- und Atlas-Apps bis spätestens 12. Juni 2026 aktualisieren, oder die Software wird von den macOS-Sicherheitsschutzmechanismen blockiert.

OpenAI sagte, es habe keine Beweise für bösartige Software gefunden, die mit seinen Zertifikaten signiert wurde, und keine unbefugten Änderungen an veröffentlichten Anwendungen.

Das Unternehmen bemerkte, dass die neue Notarisierung mit den alten Zertifikaten bereits blockiert wurde, was bedeutet, dass jede betrügerische App, die versucht, sie zu verwenden, über keine Apple-Notarisierung verfügen würde und standardmäßig von den macOS-Sicherheitsschutzmechanismen gestoppt würde.