Connect with us

Entwicklung & Code

Shai-Hulud 2: Neue Version des NPM-Wurms greift auch Low-Code-Plattformen an


Ein neuer Wurm befällt massenhaft NPM-Pakete und greift Zugangsdaten ab. Der Code des Schädlings enthält den Bezeichner „SHA1HULUD“, Sicherheitsanalysten bezeichnen ihn daher als „Shai-Hulud 2.0“. Unklar ist jedoch, ob tatsächlich dieselben Angreifer beide Versionen auf das npm-Ökosystem ansetzten oder es sich um Trittbrettfahrer handelt. So oder so: Die Schadsoftware-Entwickler haben aus der ersten Angriffswelle gelernt und Flaschenhälse beseitigt. Die Aufräumarbeiten laufen, Entwickler und Nutzer sollten auf der Hut sein.

Weiterlesen nach der Anzeige

Über 425 npm-Pakete mit über 100 Millionen monatlichen Downloads sind am Montagnachmittag infiziert, darunter prominente Namen: Pakete zum Thema ENS-Domains (Ethereum Name Service), verschiedene API-, Low- und No-Code-Plattformen wie Zapier und Postman. Zuerst betroffen waren offenbar die Pakete „go-template“ und verschiedene Repositories unterhalb „AsyncAPI“, sie wurden zwischen dem 21. und 23. November hochgeladen, also an einem Wochenende.

Die Schadsoftware durchsucht die übernommenen Repositories nach Zugangsdaten und publiziert diese unter dem Konto des Opfers auf Github. Deren Bezeichnung lautet „Sha1-Hulud: the Second Coming“, was die Auffindbarkeit erleichtert. So umgehen die Entwickler einen zentralen Flaschenhals des letzten Wurm-Ausbruchs: Damals kam eine Webhook-Plattform zum Einsatz, die den missbräuchlich genutzten Endpunkt kurzerhand sperrte. Github ist unterdessen eifrig dabei, betroffene Repositories zu entfernen, kämpft aber offenbar gegen Windmühlen: Die Angriffskampagne läuft weiter und es werden stetig neue Codeverzeichnisse erstellt: Gegen 14:30 am Montagnachmittag waren es über 27.800.


Sha1-Hulud: Blick in ein Repository

Sha1-Hulud: Blick in ein Repository

Die Struktur der von Sha1-Hulud angelegten Repositories ist immer gleich – in den json-Dateien finden sich geheime Zugangsdaten des infizierten Nutzers.

Mehrere Github-Workflows sorgen für das Abgreifen von Zugangsdaten und die Installation einer Backdoor auf infizierten Maschinen. Diese kann durch die Diskussions-Funktion in den infizierten Repositories gesteuert werden – sozusagen ein selbst-gehosteter Command&Control-Server (C&C). Ein zweiter Workflow mit dem irreführenden Namen „Code Formatter“ sucht nach Secrets des angegriffenen Github-Kontos und lädt diese im JSON-Format hoch. Offenbar unterstützt Sha1-Hulud Linux, Windows und macOS mit angepasstem Schadcode.

Der Angriff kommt nur wenige Tage vor einer weitreichenden Sicherheitsänderung bei npm: Die Betreiber des Ökosystems hatten angekündigt, „classic tokens“ zur Authentifizierung von Paketverwaltern abzuschaffen. Die Änderung tritt am 9. Dezember in Kraft – zuvor wollten die Entwickler von Sha1-Hulud wohl noch einmal zuschlagen.

Weiterlesen nach der Anzeige

Die volle Liste der betroffenen Pakete, wie sie Wiz, Koi und Aikido übereinstimmend am frühen Montagnachmittag berichten, finden Sie hier:

Die Spezialisten von Wiz sind bei der Zuordnung des Wurms zu einer Angreifergruppe oder -nation vorsichtig: Noch könne man eine Attribution nicht bestätigen. Viele Methoden des aktuellen Ausbruchs seien ähnlich zum vorigen Shai-Hulud-Wurm, doch es gebe auch Unterschiede.

Um Infektionen zu erkennen und zu stoppen, sollten Organisationen zunächst ihre gesamte Entwicklungs-Infrastruktur auf verdächtige Anzeichen überprüfen – besonders auf bekannte infizierte Pakete. Die gehören umgehend entsorgt, automatische Paketupdates zunächst deaktiviert und bei Verdacht einer Infektion sollten Admins alle Zugangsdaten rotieren. Das gilt für Entwicklungsplattformen wie Github und npm, aber auch Zugänge zu Hyperscalern wie GCP, AWS und Azure.


(cku)



Source link

Entwicklung & Code

Hallo Developer, hallo heise, hallo C++


Weiterlesen nach der Anzeige

Ich bin Andreas Fertig. Seit vielen Jahren beschäftige ich mich mit der Programmiersprache C++. Mein Wissen teile ich im Rahmen von Trainings, Vorträgen und auch Artikeln wie in der iX oder meinem privaten Blog. Dort veröffentliche ich pro Monat einen Artikel zu C++ auf Englisch.


Portrait von Andreas Fertig

Portrait von Andreas Fertig

Andreas Fertig ist erfahrener C++-Trainer und Berater, der weltweit Präsenz- sowie Remote-Kurse anbietet. Er engagiert sich im C++-Standardisierungskomitee und spricht regelmäßig auf internationalen Konferenzen. Mit C++ Insights ( hat er ein international anerkanntes Tool entwickelt, das C++-Programmierenden hilft, C++ noch besser zu verstehen.

Die Neuerung für (C++)2026 ist, dass ihr diese Artikel ab sofort auch hier bei heise Developer und auf Deutsch lesen könnt.

Mir ist bewusst, dass ich mit dem Blog in die Fußstapfen von Rainer Grimm trete, den ich sehr geschätzt habe und der leider viel zu früh von uns gegangen ist. Uns beiden lagen C++ und Wissen teilen sehr am Herzen. Mit meinem Blog möchte ich das Thema C++ hier bei heise Developer weiterführen.

Wie der Name des Blogs (der Titel „C++ Werkbank“ verzichtet bewusst auf den Bindestrich) verrät, werde ich mich mit C++-Themen beschäftigen, die dir helfen sollen, deine C++-Kenntnisse zu verbessern und mit einem neuen Werkstück aus jedem Post zu gehen.

Da ich mich viel im Umfeld eingebetteter Systeme bewege, haben meine Artikel häufig einen Fokus auf Effizienz und Performance. Auch Aspekte wie Softwaredesign werden gelegentlich ein Thema sein. Wie in meinen Trainings werde ich auch immer wieder auf Fallstricke wie undefiniertes Verhalten hinweisen. Mein Ziel ist es immer selbst robusten Code zu schreiben, der lange leben kann, und genau das vermittle ich auch in meinen Beiträgen.

Weiterlesen nach der Anzeige

Als Mitglied im C++-Standardisierungskomitee werde ich gelegentlich auch über Neuerungen für den nächsten C++-Standard berichten.

Gerne kannst du mich auch schon vor dem ersten C++-Beitrag kennenlernen. Eine Übersicht meiner Social Media findest du hier.

Du bist an einem C++-Training für deine Firma interessiert? Hier findest du meine Trainings, welche selbstverständlich auf die Anforderungen deiner Firma und deines Teams angepasst werden können.

Andreas


(rme)



Source link

Weiterlesen

Entwicklung & Code

programmier.bar: Entwicklung von Headless Apps mit Rust


In dieser Podcastfolge der programmier.bar blicken Joachim Böhmer und Dennis Becker gemeinsam mit Marcel Koch, Softwareberater, Coach und Rust-Autor, über den Tellerrand klassischer Cross-Platform-Frameworks. Im Mittelpunkt steht das Konzept sogenannter Headless Apps und die Frage, wie sich Anwendungslogik unabhängig von konkreten UI-Technologien umsetzen lässt.

Weiterlesen nach der Anzeige

Die drei diskutieren, wie sich die Business-Logik einer Anwendung vollständig in Rust kapseln lässt, um sie plattformübergreifend einzusetzen – unabhängig davon, ob die Benutzeroberfläche mit Flutter, SwiftUI oder Jetpack Compose umgesetzt wird. Auch der Einsatz im Web über WebAssembly (Wasm) sowie auf Mikrocontrollern ist Teil der Betrachtung. Es geht um die Trennung von Core-Logik und UI für die Reduktion technologischer Abhängigkeiten.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Inhalt geladen.

In dieser Folge gibt es außerdem einen Architektur-Deep-Dive zu Headless Apps sowie zur Rolle von Rust in diesem Kontext, insbesondere mit Blick auf Performance, Memory Safety und Portabilität. Zudem stellt Marcel Koch das Crux-Framework von Red Badger vor, das den Datenaustausch zwischen dem Rust-Core und den jeweiligen UI-Shells automatisiert. Abschließend diskutieren die drei, in welchen Fällen sich der Mehraufwand einer Headless-Architektur lohnt und wann klassische Lösungen wie Flutter oder Kotlin Multiplatform die sinnvollere Wahl sind.

Die aktuelle Ausgabe des Podcasts steht auch im Blog der programmier.bar bereit: „Headless Apps mit Marcel Koch“. Fragen und Anregungen gerne per Mail oder via Mastodon, Bluesky, LinkedIn oder Instagram.

Weiterlesen nach der Anzeige


(mdo)





Source link

Weiterlesen

Entwicklung & Code

KI-Video- und -Bild-Ersteller Amuse am Ende, ComfyUI als Ersatz


Wer mit dem KI-Tool Amuse Bilder und Videos generiert, könnte sich über ausbleibende Aktualisierungen wundern. Das Projekt liegt offenbar auf Eis, ist aber seit Dezember als Open Source verfügbar. Als Alternative bietet sich ComfyUI an.

Weiterlesen nach der Anzeige

Genaue Hintergründe sind unbekannt, jedoch hat sich der Hauptentwickler hinter Amuse zurückgezogen. Die ursprünglich genutzte Domain amuse.ai steht inzwischen zum Verkauf. Der Quellcode ist unter Apache-2.0-Lizenz auf Github verfügbar. Allerdings sind zwei externe Abhängigkeiten vorhanden, für die Interessierte offenbar Lizenzen erstehen müssen. Die Entwicklung ist damit faktisch zum Erliegen gekommen.

Der bisherige Stand lässt sich weiterhin nutzen. Jedoch sind die Fähigkeiten der verfügbaren KI-Modelle rasch veraltet, aktuelle Modelle liefern etwa mehr, korrektere und natürlichere Details. Amuse hat die Bedienung massiv vereinfacht und auch Hardware-Beschleunigung auf Prozessoren mit ausreichend potenter GPU oder NPU angeboten.

AMD wirbt inzwischen nicht mehr für Amuse, sondern prescht aktuell mit einer besseren Integration mit AMD ROCm 7.1.1 in ComfyUI vor. Dafür empfiehlt AMD etwa ein Ryzen AI Max+-System mit 128 GByte Speicher oder eine Radeon AI Pro R9700 in Verbindung mit 64 GByte RAM „für eine optimale Erfahrung“.

Die Alternative ComfyUI gibt es als Download für Windows, macOS oder als manuelle Installation über Github – die liefert auch die größte Unterstützung etwa für Nvidia, AMD, Intel, Apple Silicon oder Ascend mit. Auf der Release-Webseite von ComfyUI gibt es aber auch Portable-Versionen mit Optimierungen für AMD oder Nvidia, die keine Installation benötigen.

Das Web-Interface von ComfyUI ist für Umsteiger erst einmal gewöhnungsbedürftig, lässt sich jedoch nach kurzer Zeit ebenfalls einfach nutzen. Es stehen viel mehr Modelle als in Amuse zur Auswahl, insbesondere zahlreiche Videogeneratoren. Aber auch zur Klangerzeugung und zur Erstellung von KI-Bildern sind zahlreiche Modelle vorhanden. Die Installation etwa in der portablen Version ist ebenfalls ungewohnt. Fehlen Dateien für ein Modell, erscheint ein Dialog mit Schaltflächen zum Herunterladen. Davor steht in dem Dialog dann das Verzeichnis, in das die Datei unter dem „models“-Ordner des ComfyUI-Verzeichnisses gehört; dahin muss die jeweilige Datei einfach gespeichert werden.

Im Graphen auf dem Web-Interface kann man etwa den Prompt und Ausgabegröße in den einzelnen Elementen anpassen und dann die KI ihr Werk vollbringen lassen. Allerdings gelingt das etwa mit AMD Ryzen 7840HS/7640HS-Prozessoren mit ihren mit rund 10 TOPS „schnellen“ NPUs nicht, was unter Amuse kein Problem war. Allerdings waren die Prozessoren auch unter Amuse nicht offiziell unterstützt. Für die älteren Prozessoren bleibt also lediglich, bei Bedarf die ältere Software mit den veraltenden Modellen zu nutzen.

Weiterlesen nach der Anzeige


(dmk)



Source link

Weiterlesen

Beliebt