Supply Chain

Hades: der Wurm, der deine KI-Configs vergiftet

Hades ist ein credential-stehlender, sich selbst verbreitender Wurm, der sich über PyPI- und npm-Pakete ausbreitet. Das Besondere: Er schreibt die Konfigurationsdateien von KI-Assistenten um, um Persistenz zu erlangen — und platziert Prompt-Injektionen, um genau die KI-Werkzeuge zu täuschen, mit denen man ihn analysiert.

Lesezeit ~7 Min · Supply Chain

Wie Hades sich verbreitet

Hades gehört zur Miasma-Supply-Chain-Kampagne — eine Welle, die rund 30 PyPI-Pakete (37 bösartige Wheel-Artefakte) im wissenschaftlichen Python- und Bioinformatik-Ökosystem vergiftete. Jedes bösartige Wheel bringt eine *-setup.pth-Datei mit, die Python bei jedem Interpreter-Start ausführt — das Python-Äquivalent zum npm-Install-Hook-Problem. Kein Import nötig; der Payload läuft, bevor man den Code je geprüft hat.

Der .pth-Hook lädt eine vorkompilierte Bun-Runtime nach /tmp/b/ und führt einen verschleierten JavaScript-Payload (_index.js) aus — vorbei an Paketmanager-Kontrollen und Netzwerk-Proxy-Logs. Gestohlene GitHub- und Publishing-Tokens lassen ihn dann weitere Pakete neu veröffentlichen: Selbstverbreitung.

Der Teil, der KI-Agenten angreift

Hades backdoort die Config- und Regel-Dateien von 14 KI-Assistenten — Claude, Codex, Gemini, Copilot, Cline, Aider, Tabby, Amazon Q, Cody, Bolt, Continue und mehr. Er platziert eigene Anweisungen oder Hooks (z. B. bun run bootstrap) in Dateien wie .cursorrules, .windsurfrules, .github/copilot-instructions.md, .aider.conf.yml und settings.json / mcp.json. Beim nächsten Öffnen des Workspaces führt der eigene Agent den Wurm aus.

Hades bettet außerdem Klartext-Prompt-Injektion ein, die auf LLM-basierte Security-Scanner zielt — er versucht buchstäblich, den KI-Analysten davon abzubringen, ihn zu melden. Die KI, die den Wurm prüft, lässt sich wegschauen.

Genau das ist Memory-Vergiftung: Eine einmalige Infektion wird zu einer dauerhaften Anweisung, die der Agent bei jedem Lauf neu liest.

Bist du betroffen? Was zu prüfen ist

Unbekannte *-setup.pth-Dateien in deinem Python-site-packages.
Ein /tmp/.bun_ran-Marker, ein /tmp/b/-Bun-Binary oder /var/tmp/.gh_update_state.
Seltsame Anweisungen in KI-Configs: .cursorrules, .vscode/tasks.json, ~/.claude/settings.json, mcp.json, .aider.conf.yml.
Persistenz: ~/.config/systemd/user/update-monitor.service (Linux) oder ~/Library/LaunchAgents/com.user.update-monitor.plist (macOS), dazu ~/.local/share/updater/update.py.

In dieser Welle gemeldete Paketnamen sind u. a.:

# Hades-Welle — nicht installieren; falls vorhanden, entfernen:
bramin  cmd2func  coolbox  dynamo-release  embiggen  ensmallen
executor-engine  executor-http  funcdesc  gpsea  magique  magique-ai
mflux-streamlit  mrbios  napari-ufish  nhmpy  nucbox  okite
pantheon-agents  pantheon-toolsets  ppkt2synergy  pyphetools  rlask
rsquests  spateo-release  synago  tlask  ufish  uprobe

Wenn es dich erwischt hat: die Reihenfolge zählt

Rotiere NICHT zuerst deine Schlüssel. Hades startet einen Datei-Wiper, wenn er merkt, dass sein gestohlenes Token widerrufen wurde. Säubere die Maschine, bevor du Zugangsdaten anfasst.

1. Isolieren — die Maschine vom Netzwerk trennen.
2. Persistenz killen — die *-setup.pth-Datei löschen, die eingeschleusten Anweisungen aus den KI-Configs entfernen und jeden Update-Monitor-Dienst bzw. LaunchAgent beseitigen.
3. Paket entfernen — das betroffene Paket per pip uninstall / npm uninstall deinstallieren.
4. Jetzt rotieren — erst jetzt jeden Schlüssel, jedes Token und jede Zugangsdaten erneuern, die die Maschine erreichen konnte.

Wie PoisonZero hilft

PoisonZero überwacht die Config- und Instruktions-Dateien deiner KI-Assistenten und prüft jeden Schreibvorgang, bevor er wirksam wird. Der Persistenz-Schritt von Hades — das Umschreiben von .cursorrules, settings.json, mcp.json und Co. — wird beim Schreiben abgefangen, fail-closed, und mit vollständigem Audit-Trail revertiert.

Zur Klarheit beim Umfang: PoisonZero schützt den Agent-Config-Vektor — den Schritt, der aus einer einmaligen Infektion dauerhafte Persistenz in deinen KI-Werkzeugen macht. Es entfernt nicht das bösartige Paket selbst; dafür folge der Säuberungs-Reihenfolge oben.

Halte Würmer aus deinen Agent-Configs.

PoisonZero prüft jeden Schreibvorgang an deinen KI-Config- und Memory-Dateien — fail-closed.

Sign me up

Weiterlesen: Supply-Chain-Würmer · Was ist Memory Poisoning? · KI-Agenten in der CI/CD-Pipeline

Alle Artikel