Vercel-Angriff: Betroffene Kunden und Drittanbieter steigen weiter an

Ausweitung des Vercel-Angriffs: Mehr Kunden als zunächst angenommen betroffen

Vercel hat bestätigt, dass die Folgen eines Angriffs auf seine internen Systeme mehr Kunden betreffen als bisher bekannt. Bei der laufenden Analyse wurden zusätzliche Beweise für Kompromittierungen entdeckt. Das Unternehmen, das Tools für Entwickler bereitstellt und Cloud-Infrastruktur hostet, spricht von einer „kleinen Anzahl“ betroffener Konten, ohne konkrete Zahlen oder einen Bereich der Vorfälle zu nennen.

Vercel und Next.js im Fokus: Malware-Verteilung und API-Missbrauch

Vercel, Schöpfer des beliebten Frameworks Next.js (über 9 Millionen Downloads pro Woche) und weiterer Open-Source-Projekte, analysierte gemeinsam mit Partnern fast ein Petabyte an Logs. Dabei zeigte sich, dass die bösartige Aktivität über den ursprünglichen Angriff hinausgeht, der bei Context.ai begann. CEO Guillermo Rauch erklärte in einem Post auf X:

„Bedrohungsanalysen deuten auf die Verteilung von Malware hin, die nach wertvollen Tokens wie Schlüsseln zu Vercel-Konten und anderen Anbietern sucht. Sobald der Angreifer diese Schlüssel besitzt, zeigt sich in unseren Logs ein wiederkehrendes Muster: schneller und umfassender API-Nutzung, mit Fokus auf die Abfrage nicht-sensibler Umgebungsvariablen.“

Sicherheitsrisiko OAuth: Vertrauen als größte Schwachstelle

Der Vorfall unterstreicht die Risiken vernetzter Systeme, die auf OAuth-Tokens, vertrauensvolle Beziehungen und überprivilegierte Berechtigungen setzen. Munish Walther-Puri, Leiter der kritischen digitalen Infrastruktur bei TPO Group, kommentierte gegenüber CyberScoop:

„Die eigentliche Schwachstelle war nicht die Technologie, sondern das Vertrauen. OAuth verwandelte eine Produktivitäts-App in eine Hintertür. Jedes KI-Tool, das ein Mitarbeiter mit seinem Arbeitskonto verbindet, wird zur potenziellen Angriffsfläche.“

Angriffspfad und Datenkompromittierung

Der Angreifer drang in Vercels interne Systeme ein, um Kundendaten zu stehlen und zu entschlüsseln – darunter Umgebungsvariablen. Das Unternehmen betont, dass der Angriff bei Context.ai begann, einem von einem Mitarbeiter genutzten Drittanbieter-Tool. Forscher von Hudson Rock hatten bereits im Februar auf mögliche Ursprünge hingewiesen: Ein Mitarbeiter von Context.ai infizierte seinen Computer mit der Malware Lumma Stealer, nachdem er nach Roblox-Spiel-Exploits suchte – ein häufiger Verbreitungsweg für Infostealer.

Ungeklärte Fragen und zusätzliche Vorfälle

Vercel gab weder an, welche Systeme oder Kundendaten kompromittiert wurden, noch beschrieb es, wie der Angriff eingedämmt oder beseitigt wurde. Das Unternehmen betonte jedoch, dass es keine Hinweise auf Manipulationen an den veröffentlichten Softwarepaketen gibt und die Lieferkette als sicher gilt. In einem aktualisierten Sicherheitsbulletin verwies Vercel zudem auf separate Angriffe auf eine „kleine Anzahl“ weiterer Kunden, die nicht mit dem eigenen Vorfall zusammenhängen:

• Diese Kompromittierungen scheinen nicht von Vercel-Systemen auszugehen.
• Die Aktivitäten stehen nicht in Verbindung mit dem Vorfall aus April.
• Es gibt keine Anzeichen für einen früheren Sicherheitsvorfall bei Vercel.

Unklar bleibt, wie Vercel auf diese Angriffe aufmerksam wurde und warum sie öffentlich gemacht werden. Auf Nachfragen von Medien und Analysten reagierte das Unternehmen nicht. Mandiant, das die Incident-Response und Untersuchung leitet, verwies ebenfalls zurück an Vercel. Eine Zuordnung des Angriffs zu einer bestimmten Bedrohungsgruppe steht weiterhin aus.

Fazit: Neue Erkenntnisse zeigen Komplexität moderner Cyberangriffe

Der Vorfall bei Vercel verdeutlicht, wie Angreifer vernetzte Systeme ausnutzen, um durch OAuth-Tokens und vertrauensvolle Verbindungen Zugriff zu erlangen. Die Kombination aus Drittanbieter-Risiken und überprivilegierten Berechtigungen schafft neue Angriffsvektoren – selbst wenn die primäre Sicherheitslücke geschlossen scheint.