Supply Chain

Hades: der Wurm, der Ihre KI-Configs vergiftet

Hades ist ein credential-stehlender, sich selbst verbreitender Wurm, der sich über PyPI- und npm-Pakete ausbreitet. Das Besondere: Er schreibt die Konfigurationsdateien von KI-Assistenten um, um Persistenz zu erlangen - und platziert Prompt-Injektionen, um genau die KI-Werkzeuge zu täuschen, mit denen man ihn analysiert.

Lesezeit ~7 Min · Supply Chain

Wie Hades sich verbreitet

Hades gehört zur Miasma-Supply-Chain-Kampagne - eine Welle, die rund 30 PyPI-Pakete (37 bösartige Wheel-Artefakte) im wissenschaftlichen Python- und Bioinformatik-Ökosystem vergiftete. Jedes bösartige Wheel bringt eine *-setup.pth-Datei mit, die Python bei jedem Interpreter-Start ausführt - das Python-Äquivalent zum npm-Install-Hook-Problem. Kein Import nötig; der Payload läuft, bevor man den Code je geprüft hat.

Der .pth-Hook lädt eine vorkompilierte Bun-Runtime nach /tmp/b/ und führt einen verschleierten JavaScript-Payload (_index.js) aus - vorbei an Paketmanager-Kontrollen und Netzwerk-Proxy-Logs. Gestohlene GitHub- und Publishing-Tokens lassen ihn dann weitere Pakete neu veröffentlichen: Selbstverbreitung.

Der Teil, der KI-Agenten angreift

Hades backdoort die Config- und Regel-Dateien von 14 KI-Assistenten - Claude, Codex, Gemini, Copilot, Cline, Aider, Tabby, Amazon Q, Cody, Bolt, Continue und mehr. Er platziert eigene Anweisungen oder Hooks (z. B. bun run bootstrap) in Dateien wie .cursorrules, .windsurfrules, .github/copilot-instructions.md, .aider.conf.yml und settings.json / mcp.json. Beim nächsten Öffnen des Workspaces führt der eigene Agent den Wurm aus.

Hades bettet außerdem Klartext-Prompt-Injektion ein, die auf LLM-basierte Security-Scanner zielt - er versucht buchstäblich, den KI-Analysten davon abzubringen, ihn zu melden. Die KI, die den Wurm prüft, lässt sich wegschauen.

Genau das ist Memory-Vergiftung: Eine einmalige Infektion wird zu einer dauerhaften Anweisung, die der Agent bei jedem Lauf neu liest.

Sind Sie betroffen? Was zu prüfen ist

  • Unbekannte *-setup.pth-Dateien in Ihrem Python-site-packages.
  • Ein /tmp/.bun_ran-Marker, ein /tmp/b/-Bun-Binary oder /var/tmp/.gh_update_state.
  • Seltsame Anweisungen in KI-Configs: .cursorrules, .vscode/tasks.json, ~/.claude/settings.json, mcp.json, .aider.conf.yml.
  • Persistenz: ~/.config/systemd/user/update-monitor.service (Linux) oder ~/Library/LaunchAgents/com.user.update-monitor.plist (macOS), dazu ~/.local/share/updater/update.py.

In dieser Welle gemeldete Paketnamen sind u. a.:

# Hades-Welle - nicht installieren; falls vorhanden, entfernen:
bramin  cmd2func  coolbox  dynamo-release  embiggen  ensmallen
executor-engine  executor-http  funcdesc  gpsea  magique  magique-ai
mflux-streamlit  mrbios  napari-ufish  nhmpy  nucbox  okite
pantheon-agents  pantheon-toolsets  ppkt2synergy  pyphetools  rlask
rsquests  spateo-release  synago  tlask  ufish  uprobe

Wenn es Sie erwischt hat: die Reihenfolge zählt

Rotieren Sie NICHT zuerst Ihre Schlüssel. Hades startet einen Datei-Wiper, wenn er merkt, dass sein gestohlenes Token widerrufen wurde. Säubern Sie die Maschine, bevor Sie Zugangsdaten anfassen.
  • 1. Isolieren - die Maschine vom Netzwerk trennen.
  • 2. Persistenz killen - die *-setup.pth-Datei löschen, die eingeschleusten Anweisungen aus den KI-Configs entfernen und jeden Update-Monitor-Dienst bzw. LaunchAgent beseitigen.
  • 3. Paket entfernen - das betroffene Paket per pip uninstall / npm uninstall deinstallieren.
  • 4. Jetzt rotieren - erst jetzt jeden Schlüssel, jedes Token und jede Zugangsdaten erneuern, die die Maschine erreichen konnte.

So schützt PoisonZero Sie hier

PoisonZero überwacht die Config- und Instruktions-Dateien Ihrer KI-Assistenten und prüft jeden Schreibvorgang, bevor er wirksam wird. Der Persistenz-Schritt von Hades (das Umschreiben von .cursorrules, settings.json, mcp.json und Co.) ist genau eine Änderung an einer geschützten Datei: eine harmlose Bearbeitung wird durchgelassen, dieses gefährliche Umschreiben wird mit vollständigem Audit-Trail auf den letzten sauberen Stand zurückgesetzt, und ein unklarer Fall kommt zu Ihnen zur Entscheidung.

Zur Klarheit beim Umfang: PoisonZero schützt den Agent-Config-Vektor - den Schritt, der aus einer einmaligen Infektion dauerhafte Persistenz in Ihren KI-Werkzeugen macht. Es entfernt nicht das bösartige Paket selbst; dafür folgen Sie der Säuberungs-Reihenfolge oben.

Die eingeschleuste Anweisung überlebt den Schreibvorgang nie: PoisonZero ist fail-closed, ein Config-Umschreiben, das es nicht klären kann, wird zurückgesetzt und nicht beim nächsten Lauf von Ihrem Agenten neu gelesen.
War das hilfreich?

Halten Sie Würmer aus Ihren Agent-Configs.

PoisonZero prüft jeden Schreibvorgang an Ihren KI-Config- und Memory-Dateien - fail-closed.

Sign me up