CrowdSec führt Diebstahl aus 300 GitHub-Repositories auf schädliche TanStack-Abhängigkeit zurück

Angreifer gelangten über eine Softwareabhängigkeit an privaten Quellcode

Das französische Cybersicherheitsunternehmen CrowdSec hat bestätigt, dass Angreifer Quellcode aus rund 300 seiner GitHub-Repositories exfiltriert haben, darunter etwa 170 private Repositories.

Das Unternehmen erfuhr vergangene Woche, dass der Diebstahl im Mai 2026 stattgefunden hatte. Die Untersuchung brachte den Vorfall mit der von TeamPCP zugeschriebenen TanStack-Software-Supply-Chain-Kampagne in Verbindung, bei der 84 schädliche Artefakte über 42 TanStack-Pakete verbreitet wurden.

CrowdSec geht davon aus, dass die über ein kompromittiertes Paket eingeschleuste Malware einen API-Schlüssel erlangte, der das Lesen des privaten Quellcodes ermöglichte. Mit diesem Zugang konnten die Angreifer offenbar sowohl öffentliche als auch nicht öffentliche Repositories kopieren, ohne dass ein separater Angriff auf die zentrale Produktionsinfrastruktur von CrowdSec erforderlich war.

Der gestohlene private Quellcode betraf die SaaS-Konsole von CrowdSec, bestimmte AWS-Cloud-Routinen, Konnektoren und Automatisierungskomponenten. Laut CrowdSecs Darstellung der Untersuchung haben die Ermittler keine Hinweise darauf gefunden, dass Kunden-Zugangsdaten oder andere kundenbezogene Informationen offengelegt wurden.

Nach derzeitiger Einschätzung des Unternehmens beschränkt sich die unmittelbare Auswirkung auf den internen Bereich.

Der vermutete Weg von der Paketinstallation zum GitHub-Zugriff

CrowdSec verwendete im Mai 2026 ein TanStack-Paket, während die schädlichen Artefakte aktiv waren. Nach der derzeitigen Arbeitshypothese des Unternehmens führte der kompromittierten Abhängigkeit entstammender Code dazu, dass ein API-Schlüssel aus der Entwicklungsumgebung abgegriffen wurde.

Ein API-Schlüssel mit Berechtigungen zum Lesen von Repositories kann einem Supply-Chain-Angreifer einen direkten Zugang zu proprietärem Quellcode verschaffen. Statt jedes Repository einzeln anzugreifen, kann der Angreifer die vertrauenswürdigen Zugangsdaten nutzen, um alle für diese Identität verfügbaren Projekte aufzulisten und herunterzuladen.

Das scheint das Ausmaß des Diebstahls zu erklären: Betroffen waren rund 300 Repositories, mehr als die Hälfte davon private. Die verfügbaren Informationen zeigen nicht, ob jedes Repository vollständig heruntergeladen wurde oder ob die Angreifer aus einigen Projekten gezielt bestimmte Dateien auswählten.

Mehrere technische Details sind weiterhin nicht bekannt. CrowdSec hat weder das genaue verwendete TanStack-Paket noch dessen Version benannt. Ebenso wurden die exakten Berechtigungen des API-Schlüssels, relevante GitHub-Audit-Ereignisse und andere Indicators of Compromise nicht veröffentlicht. Es wurden keine schädlichen Dateinamen, Hashes, Domains oder Netzwerkadressen bekannt gegeben.

Das Unternehmen beschrieb den wahrscheinlichen Zeitraum der Gefährdung als ein kurzes Zeitfenster im Mai 2026. Nachdem das Risiko erkannt worden war, rotierte CrowdSec alle möglicherweise betroffenen Tokens und Zugangsdaten.

Welche Inhalte die gestohlenen Repositories enthielten

Die privaten Repositories enthielten Code für vier wichtige Bereiche des Betriebs von CrowdSec:

• Die CrowdSec-SaaS-Konsole;
• bestimmte AWS-Cloud-Routinen;
• Konnektoren zur Verknüpfung von Systemen oder Diensten;
• interne Automatisierungsfunktionen.

Dies entspricht nicht der bestätigten Offenlegung von Kundendatenbanken, Passwörtern, Zugriffstokens oder Produktionsdaten. CrowdSec durchsuchte das betroffene Material und seine Umgebung nach Zugangsdaten, API-Schlüsseln, Tokens und anderen Geheimnissen, die eine laterale Bewegung ermöglichen könnten. Nach Angaben des Unternehmens wurden dabei bislang keine entsprechenden Daten gefunden.

Diese Unterscheidung ist wichtig, doch auch die Offenlegung von Quellcode verursacht Sicherheitsaufwand. Angreifer können proprietären Code auf Schwachstellen in der Implementierung, undokumentierte Schnittstellen, Annahmen zur Cloud-Umgebung, interne Namenskonventionen und Logik untersuchen, die spätere Eindringversuche unterstützen könnte. Selbst wenn Geheimnisse nicht absichtlich eingebettet wurden, können Konfigurationsfragmente, Testdaten, die Commit-Historie und Automatisierungsskripte betriebliche Details offenlegen.

CrowdSec zufolge lässt sich der kopierte Code außerhalb seiner ursprünglichen Umgebung nicht ohne Weiteres betreiben. Für eine Reproduktion der Dienste des Unternehmens wären dessen Netzwerk, Daten, Tools und unterstützende Infrastruktur erforderlich. Der Anbieter erklärte außerdem, dass der SaaS-Code regelmäßig auditiert werde und ein großer Teil des offengelegten Materials in den vorangegangenen vier Monaten erheblich verändert worden sei.

Diese Faktoren können die unmittelbare Ausnutzbarkeit verringern. Sie machen den Diebstahl jedoch nicht irrelevant.

Keine Beeinträchtigung von Kunden festgestellt

CrowdSec hat keine Hinweise darauf gefunden, dass die Angreifer Kunden-Zugangsdaten oder andere kundenbezogene Informationen erlangt haben. Das Unternehmen hat außerdem nicht berichtet, dass TeamPCP den gestohlenen Code verwendet habe, um auf Kundenbereitstellungen, Cloud-Ressourcen oder die SaaS-Produktionsplattform zuzugreifen.

Die derzeitige Einschätzung ist daher enger gefasst, als die Zahl der betroffenen Repositories zunächst vermuten lässt: Das geistige Eigentum von CrowdSec wurde offengelegt, ein Verstoß gegen Kundendaten wurde jedoch nicht festgestellt.

Diese Einschätzung kann sich ändern, falls spätere Analysen Zugangsdaten zutage fördern, die bei der ersten Suche übersehen wurden, oder verdächtige Aktivitäten aufdecken, die mit im Code enthaltenen Informationen in Verbindung stehen. Untersuchungen zu Quellcode können Zeit in Anspruch nehmen, da sich Geheimnisse in früheren Commits, archivierten Branches, generierten Dateien oder Build-Logs befinden können und nicht unbedingt in der aktuellen Projektversion.

CrowdSec erklärte, das Unternehmen werde weiterhin auf ungewöhnliches Verhalten achten. Es hat keine Hinweise auf eine anschließende Ausnutzung, Erpressung, öffentliche Veröffentlichung der Repositories oder Versuche bekannt gegeben, im gestohlenen Code gefundene Schwachstellen zu weaponisieren.

Für den beschriebenen Vorfall gilt keine CVE-Kennung, kein CVSS-Score und keine formelle Schweregradbewertung. Außerdem gibt es keinen zugehörigen Eintrag im Katalog der Known Exploited Vulnerabilities von CISA. Es handelt sich um einen durch Zugangsdaten ermöglichten Supply-Chain-Angriff und nicht um eine offengelegte Schwachstelle mit einem Hersteller-Patch und einer Tabelle betroffener Versionen.

Reaktion konzentriert sich auf Zugangsdaten und das Risiko lateraler Bewegungen

Die erste Eindämmungsmaßnahme von CrowdSec bestand darin, alle potenziell betroffenen Tokens und Zugangsdaten zu rotieren. Dies war erforderlich, weil der vermutete Erstzugriff über einen API-Schlüssel und nicht über eine Software-Schwachstelle erfolgte, die sich allein durch die Installation eines Updates hätte beheben lassen.

Das Unternehmen suchte außerdem nach vertraulichem Material, das dem Angreifer einen Zugriff über die Repositories hinaus ermöglichen könnte. Die Ermittler überprüften die kompromittierten Repositories und untersuchten den Code für die SaaS-Konsole, die AWS-Routinen, die Konnektoren und die Automatisierungen.

Die laufenden Maßnahmen umfassen:

1. Die Überwachung ungewöhnlicher Aktivitäten im Zusammenhang mit den betroffenen Identitäten und Umgebungen;
2. die Überprüfung privater Repositories auf eingebettete oder historische Geheimnisse;
3. die Bewertung, ob der offengelegte Code nützliche Wege in Cloud- oder Produktionssysteme aufzeigt;
4. die Fortführung von Quellcode-Audits für die SaaS-Plattform;
5. die Untersuchung möglicher lateraler Bewegungen ausgehend von den kompromittierten Entwicklungszugangsdaten.

CrowdSec hat keine laterale Bewegung gemeldet. Das Fehlen erkannter Zugangsdaten in aktuellen Quelldateien schließt jedoch nicht aus, dass Daten über die Repository-Historie oder verbundene Entwicklungssysteme offengelegt wurden.

Was TanStack-Nutzer und Entwicklungsteams prüfen sollten

Organisationen, die während des Ausnutzungszeitraums im Mai 2026 TanStack-Pakete verwendet haben, sollten die Herkunft der Pakete überprüfen und Abhängigkeits-, Lockfile-, Build- und Installationshistorien untersuchen. Da die für CrowdSec relevanten kompromittierten Paketnamen und Versionen nicht bekannt gegeben wurden, können sich Verteidiger nicht auf einen CrowdSec-spezifischen Paketindikator verlassen.

Teams sollten ermitteln, auf welche Zugangsdaten Paketinstallationsskripte, Build-Runner, Entwicklerarbeitsplätze und Continuous-Integration-Jobs zugreifen konnten. Für jedes in diesen Umgebungen verfügbare Token sollte anhand seiner Berechtigungen eine Risikobewertung erfolgen. Lässt sich eine Kompromittierung nicht ausschließen, sollte das Token rotiert werden.

GitHub-Administratoren sollten den Repository-Zugriff auf ungewöhnliche Auflistungsaktivitäten, Klonvorgänge, Archiv-Downloads oder API-Aktivitäten durch Entwicklungs- und Automatisierungsidentitäten überprüfen. Cloud-Teams sollten außerdem untersuchen, ob Repository-Code oder Build-Systeme Zugangsdaten enthielten, die Zugriff auf AWS-Ressourcen oder andere Infrastrukturen ermöglichten.

Für Organisationen, die CrowdSec integrieren, gibt es derzeit keine Hinweise darauf, dass Kunden-Zugangsdaten oder Kundeninformationen des Anbieters gestohlen wurden. Kunden sollten den Vorfall nicht als Beleg dafür betrachten, dass ihre eigenen Umgebungen kompromittiert wurden. Sie sollten dennoch unerwartete Authentifizierungs- oder API-Aktivitäten untersuchen, wenn ihre Bereitstellungen Zugangsdaten mit betroffenen Entwicklungs-Workflows gemeinsam nutzten.

Der Vorfall zeigt, welche Reichweite eine schädliche Abhängigkeit haben kann: Ein einziges kompromittiertes Paket kann die Zugriffsrechte der Umgebung übernehmen, in der es ausgeführt wird. Im Fall von CrowdSec war das mutmaßliche Ergebnis ein API-Schlüssel und Zugriff auf Hunderte von Repositories. Die offene Frage ist, ob der gestohlene Code TeamPCP – oder einer anderen Partei, die ihn erhält – dabei helfen kann, über den Diebstahl geistigen Eigentums hinauszugehen.