Betrifft Sie das?
- Betroffen: direkt Rechner, auf denen strutil-core 1.0.1 installiert wurde. Aus unserer Sicht sollte jedes Team, dessen Entwickler Open-Source-Pakete installieren und KI-Coding-Tools (Claude Code, Codex, Cursor, Gemini) oder VS Code nutzen, nach den eingeschleusten Dateien suchen.
- Nicht betroffen, wenn: in Ihrer Firma niemand Pakete installiert oder Coding-Agenten nutzt.
Was tun?
- Wenn Sie Ruby nutzen: Durchsuchen Sie Gemfile.lock-Dateien, CI-Caches und Container-Images nach strutil-core.
- In Repositories und Home-Verzeichnissen: Suchen Sie nach Änderungen an AGENTS.md, CLAUDE.md, .claude/settings.json, .cursor/mcp.json, den .gemini-Einstellungen, .vscode/tasks.json oder .github/init.js, die keiner von Ihnen vorgenommen hat, nach einem MCP-Server (ein Werkzeug, das der KI-Assistent starten kann) namens workspace-tools und nach SessionStart-Hooks (Befehle, die beim Start einer Sitzung laufen).
- Anzeichen einer Infektion: Dienste namens pkg-runtime oder net-health-checker, die Dateien ~/.config/index.js oder /var/tmp/.fontconfig_state, neue öffentliche Repositories in Ihrer GitHub-Organisation mit der Beschreibung project-utils oder Commits, die AutoSyncComplete enthalten.
- Wenn ein Rechner infiziert ist: Isolieren Sie ihn. Entfernen Sie net-health-checker und pkg-runtime, widerrufen Sie erst dann das GitHub-Token, erneuern Sie von einem sauberen Gerät aus alle Zugangsdaten, auf die der Rechner Zugriff hatte, und setzen Sie ihn neu auf. Das Gem zu entfernen reicht nicht.
- Nicht: das GitHub-Token zuerst widerrufen – ein ungültiges Token bringt net-health-checker dazu, das Home-Verzeichnis des Nutzers zu löschen.
- Aus unserer Sicht sollten Workspace Trust und Bestätigungsabfragen eingeschaltet bleiben: Laut Socket hängt von ihnen ab, ob das Öffnen eines Repositories den Wurm erneut startet.
Was wir wissen – und was nicht
- Eine saubere Version 1.0.0 erschien knapp zwei Stunden vor der schädlichen 1.0.1. Socket fand keine Projekte, die von dem Gem abhängen, und hat keine Opfer bestätigt.
- In der Sandbox von Bitbison las das Gem Dateien wie .claude/.credentials.json und .codex/auth.json. Die übrigen Erkenntnisse von Socket stammen aus der Code-Analyse.
- Die eingeschleuste AGENTS.md weist Agenten an, vor ihrem ersten Befehl ein Setup-Skript auszuführen; die VS-Code-Aufgabe läuft beim Öffnen des Ordners.
- Der Code kann npm- und PyPI-Pakete neu veröffentlichen; Socket hat bei diesem Gem keine solche Veröffentlichung gesehen. Wie viele Systeme es installiert haben, ist unbekannt. Ein PyPI-Paket, pystr-codec, schickt die Daten an denselben Server.
- Socket ordnet den Wurm der Miasma-Familie zu, die auf dem seit Mai 2026 öffentlichen Shai-Hulud-Toolkit beruht; gemeinsamer Code beweist daher nicht, dass derselbe Akteur dahintersteckt.
Warum das wichtig ist
Anweisungsdateien für Agenten sehen aus wie Dokumentation, und niemand prüft sie wie Code. Ein Coding-Agent folgt ihnen trotzdem. Ein Repository ist nicht mehr nur etwas, das Ihre Tools lesen, sondern etwas, nach dem sie handeln.