Bezpečnostní výzkumníci upozornili na další vývojovou fázi útoku na dodavatelský řetězec spojeného s rodinou malwaru Mini Shai-Hulud, Miasma a Hades. Tato kampaň kompromitovala novou sadu balíčků npm a zároveň se rozšířila do ekosystému jazyka Go.
Podle společnosti Socket nejnovější aktivita zahrnuje škodlivé verze npm balíčků postihující balíčky LeoPlatform a RStreams, zneužití pracovních postupů GitHub Actions a související kompromitaci Go modulu z projektu Verana Blockchain. Cílem kampaně, stejně jako dříve, je posbírat přihlašovací údaje vývojářů či správců a využít odcizená data k šíření napříč registry balíčků, repozitáři a důvěryhodnými vývojářskými pracovními postupy. Seznam zasažených balíčků zahrnuje mimo jiné leo-auth, leo-aws, leo-cli, leo-sdk, serverless-leo a Go modul github.com/verana-labs/verana-blockchain.
Mechanismus útoku
Předpokládá se, že útočníci prolomili vývojářský účet npm spojený s LeoPlatform (přezdívka „czirker“), pravděpodobně prostřednictvím uniklých přihlašovacích údajů. To jim umožnilo využít npm token patřící správci a během šestisekundového okna nahrát trojanizované verze. Nová vlna využívá mnoho taktik pozorovaných v předchozích kampaních, včetně otrávení npm registru, spuštění kódu během instalace přes soubor binding.gyp, malwaru v jazyce JavaScript připraveného přes Bun, infrastruktury využívající GitHub jako mrtvou schránku, krádeže tajných údajů z GitHub Actions, persistence v IDE a v asistentech AI pro psaní kódu a šifrované exfiltrace přihlašovacích údajů.
Škodlivé npm balíčky sice postrádají hook životního cyklu, který se obvykle přidává do souboru package.json, ale obsahují soubor binding.gyp pro spuštění libovolného kódu během instalace. To vede ke spuštění JavaScriptového zavaděče, který stáhne a nainstaluje běhové prostředí Bun, není-li přítomno, a poté zahájí činnost payloadu odcizujícího tajemství, přihlašovací údaje a tokeny. Malware kromě kontroly přítomnosti zabezpečovacího softwaru a takzvaného killswitche pro ruský jazyk také vytváří pracovní postup nazvaný „Run Copilot“, který z paměti běhového prostředí zachytává tajné údaje z CI/CD. Tyto informace pak nahrává do veřejného repozitáře GitHub s popisem „Alright Lets See If This Works.“
Propojení s dalšími kompromitacemi
Společnost StepSecurity uvedla: „Dne 24. června 2026 v 15:39:06 UTC útočník vynuceně nahrál škodlivý commit do codfish/semantic-release-action a přesměroval několik verzových tagů tak, aby ukazovaly na škodlivý commit.“ Podle firmy payload krade GitHub OIDC tokeny, sbírá osobní přístupové tokeny odpovídající známým vzorům GitHub tokenů, posbírané údaje šifruje pomocí AES-128-GCM a pokouší se rozšířit zadní vrátka do dalších repozitářů přístupných s odcizenými přihlašovacími údaji.
Podle výzkumníků z Endor Labs a OX Security malware navíc každou hodinu kontroluje GitHub na commity odpovídající řetězci „firedalazer“, aby získal a spustil variantu malwaru Hades. Otrávení projektu Verana na GitHubu rozšiřuje záběr kampaně mimo npm, přičemž útok používá stejný vykonávací vzor Miasma jako u škodlivých npm balíčků, aniž by se spoléhal na nativní mechanismy jazyka Go. Jak vysvětlil Socket, riziko zde spočívá ve spuštění ze zdrojového repozitáře: vývojář, který repozitář naklonuje nebo otevře v důvěryhodném IDE či v prostředí asistenta AI, může payload spustit prostřednictvím konfigurace projektu.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
