← Zurück zum Blog

TeamPCP versteckt Stealer in WAV-Dateien über Telnyx-PyPI, LangChain- & LangGraph-Mängel legen Geheimnisse offen, AWS-Datenleck der Europäischen Kommission, niederländische Polizei gephisht, GitHub-VS-Code-Schadsoftware-Kampagne

TeamPCP eskaliert seinen Open-Source-Lieferketten-Amoklauf, kompromittiert das Telnyx-Python-Paket und versteckt Credential-stehlende Schadsoftware in WAV-Audiodateien. Drei kritische LangChain- und LangGraph-Schwachstellen legen Dateisystemdaten, Umgebungsgeheimnisse und Konversationsdatenbanken über Millionen von KI-Deployments hinweg offen. Die Europäische Kommission untersucht ein Datenleck ihrer AWS-Umgebung mit angeblich 350 GB exfiltrierter Daten. Die niederländische Polizei meldet ein Phishing-Datenleck — ihren zweiten Vorfall in 18 Monaten. Eine großangelegte GitHub-Kampagne nutzt gefälschte VS-Code-Sicherheitswarnungen, um Schadsoftware an Entwickler zu verteilen.

---

1. TeamPCP kompromittiert Telnyx-PyPI-Paket — WAV-Audio-Steganografie versteckt Credential-Stealer

TeamPCP setzt seine beispiellose Open-Source-Lieferkettenkampagne fort. Am 27. März 2026 bestätigten Forscher von Aikido, Endor Labs, JFrog, Socket und StepSecurity, dass das Telnyx-Python-Paket auf PyPI mit zwei bösartigen Versionen kompromittiert wurde. Der Angriff stellt eine bedeutende Weiterentwicklung der Technik dar: Credential-stehlende Payloads werden nun mittels Steganografie in WAV-Audiodateien versteckt.

Details der Angriffskette

Der bösartige Code wird in telnyx/_client.py eingeschleust und löst automatisch aus, wenn das Paket importiert wird. Die dreistufige Angriffskette funktioniert je nach Ziel-Betriebssystem unterschiedlich:

• Windows: Lädt hangup.wav vom C2, extrahiert eine versteckte ausführbare Datei, legt sie als msbuild.exe im Autostart-Ordner ab für Persistenz über Neustarts hinweg
• Linux/macOS: Holt ringtone.wav vom C2, extrahiert ein Collector-Skript, das im Arbeitsspeicher läuft und Zugangsdaten aus Umgebungsvariablen, .env-Dateien und Shell-Historien abgreift
• Alle Plattformen: Exfiltriert gestohlene Daten als tpcp.tar.gz per HTTP POST an 83.142.209[.]203:8080
• Kubernetes: Missbraucht Service-Account-Tokens, um privilegierte Pods über alle Nodes hinweg für laterale Bewegung auszubringen

Die gesamte Kette operiert innerhalb eines selbstzerstörenden temporären Verzeichnisses und hinterlässt nahezu keine forensischen Artefakte. Dies ist dieselbe WAV-Steganografie-Technik, die TeamPCP zuvor bei der „Kamikaze"-Wiper-Schadsoftware nutzte — nun für Credential-Diebstahl verfeinert.

Wie TeamPCP an das Token kam

Forscher von Endor Labs gehen davon aus, dass das Telnyx-PyPI-Token während der früheren LiteLLM-Kompromittierung abgegriffen wurde. TeamPCPs Credential-Harvester durchsuchte Umgebungsvariablen, .env-Dateien und Shell-Historien jedes Systems, das LiteLLM importierte. Wenn ein Entwickler oder eine CI-Pipeline sowohl LiteLLM installiert hatte als auch Zugriff auf das Telnyx-PyPI-Token, befand sich dieses Token bereits in TeamPCPs Händen — was eine kaskadierende Lieferketten-Kompromittierung erzeugt.

CRA- und NIS2-Implikationen

• CRA-Software-Lieferkette: Die kaskadierende Natur dieses Angriffs — von Trivy über LiteLLM zu Telnyx — zeigt genau, warum der Cyber Resilience Act Schwachstellenbehandlungsprozesse und koordinierte Offenlegung über den gesamten Abhängigkeitsgraphen hinweg vorschreibt
• NIS2 Artikel 21(2)(d): Lieferkettensicherheit muss nun berücksichtigen, dass die Credential-Exponierung aus einer kompromittierten Abhängigkeit Angriffe auf völlig unabhängige Pakete ermöglicht
• SBOM-Dringlichkeit: Organisationen ohne vollständige Software Bills of Materials können ihre Exponierung gegenüber dieser kaskadierenden Angriffskette nicht bewerten

Was das für Ihre Organisation bedeutet

• Stufen Sie Telnyx sofort zurück auf Version 4.87.0 — das PyPI-Projekt ist nun unter Quarantäne
• Auditieren Sie alle Systeme, die LiteLLM importierten, auf exponierte PyPI-Tokens, API-Schlüssel und Zugangsdaten
• Prüfen Sie Kubernetes-Cluster auf unautorisierte privilegierte Pods — TeamPCPs Komponente für laterale Bewegung nimmt k8s ins Visier
• Implementieren Sie Paket-Integritätsverifizierung über einfache Versionsprüfungen hinaus — steganografische Payloads umgehen klassische Scanner

---

2. LangChain- & LangGraph-Schwachstellen legen Dateien, Geheimnisse und Datenbanken offen

Der Cyera-Sicherheitsforscher Vladimir Tokarev hat drei kritische Schwachstellen in LangChain und LangGraph offengelegt — den weltweit beliebtesten Frameworks zum Bau LLM-gestützter Anwendungen. Jeder Mangel bietet einen unabhängigen Pfad, um sensible Unternehmensdaten abzuziehen:

CVE	CVSS	Typ	Auswirkung	Behobene Version
CVE-2026-34070	7.5	Path Traversal	Beliebiges Datei-Lesen über Prompt-Loading-API	langchain-core ≥1.2.22
CVE-2025-68664	9.3	Deserialisierung	Leak von API-Schlüsseln und Umgebungsgeheimnissen	langchain-core 0.3.81 / 1.2.5
CVE-2025-67644	7.3	SQL-Injection	Vollständiger Datenbankzugriff über Checkpoint-Metadaten	langgraph-checkpoint-sqlite 3.0.1

Der schwerwiegendste Mangel, CVE-2025-68664 (CVSS 9.3), erlaubt es Angreifern, API-Schlüssel und Umgebungsgeheimnisse zu leaken, indem sie eine gestaltete Datenstruktur übergeben, die LangChain als vorab-serialisiertes Objekt statt als Nutzereingabe interpretiert. Diese Schwachstelle — von Cyata, das sie im Dezember 2025 erstmals identifizierte, „LangGrinch" genannt — lässt sich über Prompt Injection ausnutzen.

Der Welleneffekt

Cyera warnt, dass LangChain nicht isoliert existiert — es sitzt im Zentrum eines massiven Abhängigkeitsnetzes. Hunderte Bibliotheken umhüllen, erweitern oder hängen von LangChain ab. Wenn eine Schwachstelle im Kern von LangChain existiert, pflanzt sie sich durch jede nachgelagerte Bibliothek, jeden Wrapper und jede Integration fort. Mit 52 Millionen Downloads pro Woche allein für LangChain ist der Wirkungsradius enorm.

Kontext der EU-KI-Verordnung und des CRA

• EU-KI-Verordnung Artikel 15: KI-Systeme müssen Cybersicherheitsanforderungen erfüllen — ein Deserialisierungsmangel mit CVSS 9.3 im weltweit beliebtesten KI-Framework stellt ein systemisches Risiko für auf LangChain aufgebaute hochriskante KI-Systeme dar
• CRA-Schwachstellenbehandlung: Die Lücke zwischen der Erstentdeckung von CVE-2025-68664 (Dezember 2025) und dem vollständigen Patchen wirft Fragen zur CRA-Anforderung des Patchens „ohne Verzögerung" auf
• DSGVO Artikel 32: Über CVE-2025-67644 offengelegte Konversationsverläufe können personenbezogene Daten enthalten — Organisationen, die personenbezogene Daten über LangGraph verarbeiten, sind nun einem DSGVO-Durchsetzungsrisiko ausgesetzt

Was das für Ihre Organisation bedeutet

• Sofort patchen: Aktualisieren Sie langchain-core auf ≥1.2.22 und langgraph-checkpoint-sqlite auf 3.0.1
• Auditieren Sie alle LangChain-Deployments auf exponierte API-Schlüssel — rotieren Sie alle Schlüssel, die zugänglich gewesen sein könnten
• Prüfen Sie in SQLite-Checkpoints gespeicherte Konversationsverläufe auf Offenlegung sensibler Daten
• Bewerten Sie alle nachgelagerten Abhängigkeiten, die LangChain umhüllen — sie können diese Schwachstellen erben

---

3. Europäische Kommission untersucht AWS-Datenleck — angeblich 350 GB gestohlen

Die Europäische Kommission untersucht, was ein bedeutendes Datenleck ihrer Amazon-Web-Services-(AWS-)Cloud-Umgebung zu sein scheint. Zentrale Details, berichtet von BleepingComputer:

• Mindestens ein AWS-Konto wurde kompromittiert
• Der Angriff wurde schnell erkannt, und das Incident-Response-Team ermittelt
• Der Bedrohungsakteur behauptet, über 350 GB an Daten einschließlich mehrerer Datenbanken gestohlen zu haben
• Als Beweis bereitgestellte Screenshots zeigen Zugriff auf Mitarbeiterinformationen und einen von Kommissionsmitarbeitern genutzten E-Mail-Server
• Der Angreifer erklärt, die Kommission nicht erpressen zu wollen, sondern die Daten öffentlich leaken zu wollen
• AWS bestätigte, dass seine Dienste nicht kompromittiert wurden — das Datenleck lag auf Seiten der Kommission

Dies ist das zweite Datenleck der Kommission binnen zwei Monaten. Im Februar legte die Kommission offen, dass ihre Mobile-Device-Management-Plattform am 30. Januar gehackt wurde, in einem Vorfall, der mit Ivanti-EPMM-Code-Injection-Schwachstellen zusammenhängt, die auch die niederländische Datenschutzbehörde und Finnlands Valtori betrafen.

Regulatorische und politische Implikationen

Die Ironie entgeht Beobachtern nicht — die Institution, die Europas Cybersicherheitsgesetze verfasst, erleidet selbst wiederholte Datenlecks:

• NIS2-Compliance: Als EU-Institution unterliegt die Kommission der Verordnung (EU) 2023/2841 über die Cybersicherheit der Organe der Union — wiederholte Datenlecks werfen Fragen zu ihrer eigenen Compliance-Haltung auf
• Cloud-Sicherheit: Das Datenleck unterstreicht die Risiken der Public-Cloud-Nutzung durch Regierungsinstitutionen — der EU-eigene Cloud Code of Conduct und das EUCS-Zertifizierungsschema sollen genau dies adressieren
• Datenschutz: Falls personenbezogene Mitarbeiterdaten exfiltriert wurden, wird der Europäische Datenschutzbeauftragte (EDSB) nach Verordnung (EU) 2018/1725 ermitteln
• Glaubwürdigkeitslücke: Die Kommission schlug am 20. Januar 2026 neue Cybersicherheitsgesetzgebung vor, um die Abwehr gegen staatlich unterstützte Akteure zu stärken — sie muss nun zeigen, dass sie ihre eigene Infrastruktur schützen kann

Was das für Ihre Organisation bedeutet

• Auditieren Sie Ihre AWS-IAM-Konfigurationen — kompromittierte Zugangsdaten bleiben die häufigste Ursache von Cloud-Datenlecks
• Implementieren Sie Cloud Security Posture Management (CSPM) mit Echtzeit-Alarmierung
• Falls Ihre Organisation mit der Europäischen Kommission interagiert, überwachen Sie auf Datenexponierung aus dem angeblichen 350-GB-Leak
• Überprüfen Sie Ihre eigene Cloud-Incident-Response — können Sie ein Datenleck so schnell erkennen und eindämmen, wie die Kommission behauptet?

---

4. Niederländische Polizei meldet Phishing-Datenleck — zweiter Vorfall in 18 Monaten

Die niederländische Nationalpolizei hat gemeldet, Ziel eines Phishing-Angriffs gewesen zu sein, der zu einem Sicherheitsvorfall führte. Laut der Pressemitteilung vom 25. März:

• Das Security Operations Center (SOC) erkannte den Vorfall schnell und blockierte den Zugriff umgehend
• Die Auswirkung erscheint begrenzt — Bürgerdaten und Ermittlungsinformationen wurden nicht offengelegt oder abgerufen
• Eine strafrechtliche Ermittlung wurde eingeleitet
• Die Polizei hat nicht offengelegt, welche Systeme oder Konten betroffen waren

Im September 2024 erlitt die niederländische Polizei ein schwerwiegenderes Datenleck, das mit einem „staatlichen Akteur" in Verbindung gebracht wurde, der arbeitsbezogene Kontaktdaten mehrerer Beamter stahl, darunter Namen, E-Mail-Adressen, Telefonnummern und teils private Daten. Diese Untersuchung dauert weiterhin an.

NIS2 und Cybersicherheit in der Strafverfolgung

• NIS2-Anwendungsbereich: Auch wenn Strafverfolgungsbehörden generell vom NIS2-Anwendungsbereich ausgenommen sind, unterliegen sie dennoch nationalen Cybersicherheitsrahmen — das niederländische NCSC gibt Leitlinien heraus, denen die Polizei folgen soll
• Muster der Zielsetzung: Zwei Datenlecks in 18 Monaten bei derselben Organisation deuten auf anhaltendes Gegnerinteresse hin — potenziell vom selben staatlichen Akteur hinter dem Vorfall von 2024
• Verbesserungen nach dem Datenleck: Nach dem Vorfall von 2024 führte die Polizei strengere 2FA-Anforderungen und kontinuierliches Monitoring ein — diesmal erkannte das SOC den Angriff schnell, was nahelegt, dass sich diese Investitionen ausgezahlt haben

Was das für Ihre Organisation bedeutet

• Phishing bleibt der initiale Zugangsvektor Nr. 1 — selbst Organisationen mit ausgereiften SOCs werden gephisht
• Schnelle Erkennung ist ebenso wichtig wie Prävention — das SOC der niederländischen Polizei fing dies ab, bevor ernsthafter Schaden entstand
• Investieren Sie nach einem Datenleck neben Prävention auch in Erkennungsfähigkeiten — die verbesserte 2FA und das Monitoring aus der Reaktion von 2024 halfen, diesen Vorfall einzudämmen
• Führen Sie regelmäßige Phishing-Simulationen durch und messen Sie die Zeit bis zur Erkennung, nicht nur Klickraten

---

5. Gefälschte VS-Code-Sicherheitswarnungen auf GitHub verbreiten Schadsoftware an Entwickler

Die Anwendungssicherheitsfirma Socket hat eine ausgeklügelte, großangelegte Kampagne gegen Entwickler auf GitHub aufgedeckt. Die Angreifer:

• Veröffentlichen gefälschte Sicherheits-Advisories im Discussions-Bereich Tausender GitHub-Repositories, mit Titeln wie „Severe Vulnerability — Immediate Update Required"
• Verwenden realistische gefälschte CVE-IDs und dringliche Formulierungen, um ein falsches Dringlichkeitsgefühl zu erzeugen
• Geben sich mit neu erstellten oder wenig aktiven Konten als echte Code-Maintainer oder Forscher aus
• Posten automatisiert und koordiniert binnen Minuten über Tausende Repositories hinweg
• Lösen GitHub-E-Mail-Benachrichtigungen an alle getaggten Nutzer und Projekt-Follower aus

Die gefälschten Warnungen enthalten Links zu angeblich gepatchten VS-Code-Erweiterungen, die auf Google Drive gehostet werden. Ein Klick darauf löst eine Cookie-gesteuerte Weiterleitungskette aus, die zu einem JavaScript-Reconnaissance-Skript führt, das Zeitzone, Gebietsschema, User-Agent, OS-Details und Automatisierungsindikatoren sammelt, bevor validierten Opfern eine Payload der zweiten Stufe ausgeliefert wird.

Social Engineering im großen Maßstab

Diese Kampagne ist bemerkenswert wegen ihres Missbrauchs von Vertrauenssignalen:

• GitHub Discussions sind ein legitimer Benachrichtigungskanal — Entwickler erwarten hier Sicherheitswarnungen
• E-Mail-Benachrichtigungen landen neben echten GitHub-Alarmen in den Postfächern
• Google-Drive-Links verleihen einen Anstrich von Legitimität
• Die Kampagne zielt gezielt auf Entwickler — die eher schnell auf Sicherheits-Advisories reagieren

CRA-Sicherheitspflichten für Entwickler

• CRA-sichere Entwicklung: Der Cyber Resilience Act verlangt von Herstellern, sichere Entwicklungspraktiken zu befolgen — Entwickler, die auf diese Kampagne hereinfallen, können unwissentlich kompromittierte Erweiterungen in ihre Entwicklungsumgebungen einbringen
• Lieferketten-Integrität: Wenn kompromittierte Entwicklermaschinen Zugriff auf Paketregistries oder CI/CD-Pipelines haben, reicht der Wirkungsradius weit über den einzelnen Entwickler hinaus
• GitHubs Verantwortung: Nach dem DSA hat GitHub als Hosting-Dienst Pflichten im Umgang mit illegalen Inhalten — automatisierter Spam, der sich als Sicherheitsforscher ausgibt, könnte darunterfallen

Was das für Ihre Organisation bedeutet

• Schulen Sie Entwickler, Schwachstellenmeldungen vor dem Handeln über autoritative Quellen (NVD, CISA KEV, CVE.org) zu verifizieren
• Laden Sie niemals Erweiterungen oder Patches von externen Quellen wie Google Drive herunter — nutzen Sie ausschließlich offizielle Marktplätze
• Implementieren Sie E-Mail-Filterregeln, um GitHub-Benachrichtigungs-E-Mails mit externen Download-Links zu markieren
• Auditieren Sie Entwickler-Arbeitsplätze auf VS-Code-Erweiterungen, die aus Nicht-Marketplace-Quellen installiert wurden

---

Zusammenfassung der heutigen Bedrohungslage

Entwicklung	Regulierung	Auswirkung	Erforderliche Maßnahme
TeamPCP Telnyx WAV-Steganografie	CRA / NIS2	Kaskadierende Lieferketten-Kompromittierung über Audio-Steganografie	Telnyx auf 4.87.0 zurückstufen, LiteLLM-Exponierung auditieren
LangChain-/LangGraph-Mängel	EU-KI-Verordnung / CRA / DSGVO	Dateien, Geheimnisse, Datenbanken über Millionen KI-Apps offengelegt	langchain-core ≥1.2.22 patchen, API-Schlüssel rotieren
AWS-Datenleck der Europäischen Kommission	NIS2 / EUCS / VO 2018/1725	Angeblich 350 GB vom EU-Exekutivorgan gestohlen	AWS-IAM auditieren, CSPM implementieren
Phishing-Datenleck der niederländischen Polizei	Nationale Cybersicherheit	Zweites Datenleck in 18 Monaten, begrenzte Auswirkung	Phishing-Abwehr stärken, in SOC-Erkennung investieren
GitHub-VS-Code-Schadsoftware-Kampagne	CRA / DSA	Tausende Repos mit gefälschten Sicherheits-Advisories getroffen	CVEs über offizielle Quellen verifizieren, Erweiterungen auditieren