Útok na dodavatelský řetězec 1. června 2026 zasáhl více než 30 oficiálních balíčků npm v rámci jmenného prostoru @redhat-cloud-services společnosti Red Hat. Kampaň označená jako „Miasma: The Spreading Blight“ je novou variantou malwaru Shai-Hulud — sofistikovaného červa kradoucího přihlašovací údaje — a jejím cílem je odcizení vývojářských přihlašovacích údajů, cloudových tajemství, SSH klíčů a tokenů CI/CD. Výzkumníci ze společnosti Aikido potvrdili, že bylo kompromitováno 96 škodlivých verzí napříč 32 balíčky s kombinovanými týdenními staženími přesahujícími 116 000 v době odhalení.
Průnik skrze kompromitovaný účet zaměstnance
Útočníci nezneužili odcizené ověřovací tokeny npm, ale mechanismus důvěryhodného publikování OpenID Connect (OIDC) GitHub Actions — systém navržený ke zvýšení bezpečnosti pomocí krátkodobých přihlašovacích údajů. Byl kompromitován účet zaměstnance Red Hat na GitHubu, což útočníkům umožnilo injektovat škodlivé soubory pracovních postupů GitHub Actions do tří repozitářů RedHatInsights. Temný web monitorovací firma Whiteintel sdělila, že „detekovala přihlašovací údaje a session cookie zaměstnance Red Hat na GitHubu v protokolech infostealeru ze 13. dubna a 15. května 2026,“ což naznačuje, že tyto informace mohly být využity k průniku do účtu.
Vložený malware využívá skript preinstall ke spuštění 4,2 MB obfuskovaného kódu, který prohledává přihlašovací údaje AWS, GCP a Azure, tajemství GitHub Actions, tokeny Kubernetes, SSH klíče, tokeny npm/PyPI, přihlašovací údaje do Dockeru a soubory .env. V cloudových prostředích malware aktivně dotazuje AWS Secrets Manager, SSM Parameter Store, Azure Key Vault a GCP Secret Manager, pokud mu to oprávnění dovolují. Na spuštěních GitHub Actions přistupuje k tajemstvím přímo z paměti procesu za běhu — čímž obchází maskování v protokolech pracovních postupů.
Širší série útoků na dodavatelský řetězec
Červí chování umožňuje boční šíření prostřednictvím odcizených přihlašovacích údajů k opakovanému publikování kompromitovaných balíčků, čímž se dosah útoku rozrůstá napříč propojenými vývojářskými ekosystémy. Kampaň Miasma kompromitovala 309 repozitářů na GitHubu. Framework Mini Shai-Hulud byl mezitím použit i při útocích cílených na Bitwarden CLI, PyTorch Lightning, Microsoft DurableTask, balíčky SAP a projekty TanStack a Mistral. Red Hat sice infikované balíčky odstranil a prohlásil, že problém se týkal pouze interních vývojářských nástrojů, avšak výzkumníci upozorňují, že každý, kdo nainstaloval dotčené verze, by měl okamžitě rotovat veškerá tajemství CI, cloudová přístupová hesla, SSH klíče a tokeny npm.
Zdroj: bleepingcomputer.com
Zdroj: IT SECURITY NETWORK NEWS
