Hades: der Wurm, der Ihre KI-Configs vergiftet
Hades ist ein credential-stehlender, sich selbst verbreitender Wurm, der sich über PyPI- und npm-Pakete ausbreitet. Das Besondere: Er schreibt die Konfigurationsdateien von KI-Assistenten um, um Persistenz zu erlangen - und platziert Prompt-Injektionen, um genau die KI-Werkzeuge zu täuschen, mit denen man ihn analysiert.
Wie Hades sich verbreitet
Hades gehört zur Miasma-Supply-Chain-Kampagne - eine Welle, die rund 30 PyPI-Pakete (37 bösartige Wheel-Artefakte) im wissenschaftlichen Python- und Bioinformatik-Ökosystem vergiftete. Jedes bösartige Wheel bringt eine *-setup.pth-Datei mit, die Python bei jedem Interpreter-Start ausführt - das Python-Äquivalent zum npm-Install-Hook-Problem. Kein Import nötig; der Payload läuft, bevor man den Code je geprüft hat.
Der .pth-Hook lädt eine vorkompilierte Bun-Runtime nach /tmp/b/ und führt einen verschleierten JavaScript-Payload (_index.js) aus - vorbei an Paketmanager-Kontrollen und Netzwerk-Proxy-Logs. Gestohlene GitHub- und Publishing-Tokens lassen ihn dann weitere Pakete neu veröffentlichen: Selbstverbreitung.
Der Teil, der KI-Agenten angreift
Hades backdoort die Config- und Regel-Dateien von 14 KI-Assistenten - Claude, Codex, Gemini, Copilot, Cline, Aider, Tabby, Amazon Q, Cody, Bolt, Continue und mehr. Er platziert eigene Anweisungen oder Hooks (z. B. bun run bootstrap) in Dateien wie .cursorrules, .windsurfrules, .github/copilot-instructions.md, .aider.conf.yml und settings.json / mcp.json. Beim nächsten Öffnen des Workspaces führt der eigene Agent den Wurm aus.
Genau das ist Memory-Vergiftung: Eine einmalige Infektion wird zu einer dauerhaften Anweisung, die der Agent bei jedem Lauf neu liest.
Sind Sie betroffen? Was zu prüfen ist
- Unbekannte
*-setup.pth-Dateien in Ihrem Python-site-packages. - Ein
/tmp/.bun_ran-Marker, ein/tmp/b/-Bun-Binary oder/var/tmp/.gh_update_state. - Seltsame Anweisungen in KI-Configs:
.cursorrules,.vscode/tasks.json,~/.claude/settings.json,mcp.json,.aider.conf.yml. - Persistenz:
~/.config/systemd/user/update-monitor.service(Linux) oder~/Library/LaunchAgents/com.user.update-monitor.plist(macOS), dazu~/.local/share/updater/update.py.
In dieser Welle gemeldete Paketnamen sind u. a.:
# Hades-Welle - nicht installieren; falls vorhanden, entfernen: bramin cmd2func coolbox dynamo-release embiggen ensmallen executor-engine executor-http funcdesc gpsea magique magique-ai mflux-streamlit mrbios napari-ufish nhmpy nucbox okite pantheon-agents pantheon-toolsets ppkt2synergy pyphetools rlask rsquests spateo-release synago tlask ufish uprobe
Wenn es Sie erwischt hat: die Reihenfolge zählt
- 1. Isolieren - die Maschine vom Netzwerk trennen.
- 2. Persistenz killen - die
*-setup.pth-Datei löschen, die eingeschleusten Anweisungen aus den KI-Configs entfernen und jeden Update-Monitor-Dienst bzw. LaunchAgent beseitigen. - 3. Paket entfernen - das betroffene Paket per
pip uninstall/npm uninstalldeinstallieren. - 4. Jetzt rotieren - erst jetzt jeden Schlüssel, jedes Token und jede Zugangsdaten erneuern, die die Maschine erreichen konnte.
So schützt PoisonZero Sie hier
PoisonZero überwacht die Config- und Instruktions-Dateien Ihrer KI-Assistenten und prüft jeden Schreibvorgang, bevor er wirksam wird. Der Persistenz-Schritt von Hades (das Umschreiben von .cursorrules, settings.json, mcp.json und Co.) ist genau eine Änderung an einer geschützten Datei: eine harmlose Bearbeitung wird durchgelassen, dieses gefährliche Umschreiben wird mit vollständigem Audit-Trail auf den letzten sauberen Stand zurückgesetzt, und ein unklarer Fall kommt zu Ihnen zur Entscheidung.
Zur Klarheit beim Umfang: PoisonZero schützt den Agent-Config-Vektor - den Schritt, der aus einer einmaligen Infektion dauerhafte Persistenz in Ihren KI-Werkzeugen macht. Es entfernt nicht das bösartige Paket selbst; dafür folgen Sie der Säuberungs-Reihenfolge oben.
Halten Sie Würmer aus Ihren Agent-Configs.
PoisonZero prüft jeden Schreibvorgang an Ihren KI-Config- und Memory-Dateien - fail-closed.
Sign me up