Miasma-aanval op Red Hat: Hoe één gestolen GitHub-account 32 npm-pakketten vergiftigde

OIDC-trusted publishing omzeild

De meest doortrapte zet van de aanvallers was het misbruiken van deze legitieme toegang om een van de sterkste moderne beveiligingsgaranties van de supplychain te omzeilen. Ze gebruikten het gecompromitteerde account om kwaadaardige GitHub Actions-workflows rechtstreeks in de broncode-repositories te injecteren. Dit gebeurde in de repositories van het RedHatInsights-project op GitHub .

Een cruciaal aspect van deze workflows was het gebruik van OpenID Connect (OIDC) voor 'trusted publishing'. Normaal gesproken stelt OIDC GitHub Actions in staat om zich te authenticeren bij npm zonder langlevende tokens. Omdat de kwaadaardige workflows op Red Hats officiële infrastructuur draaiden, konden ze geldige SLSA provenance-attestaties genereren. Hierdoor kregen de gemanipuleerde pakketten een verifieerbaar, formeel stempel van legitimiteit, waardoor ontwikkelaars werden misleid om de backdoor-versies te vertrouwen .

De Miasma-lading: een zelfverspreidende credential-dief

De kwaadaardige code was ingebed in een preinstall-script dat werd gespecificeerd in het package.json-bestand. Dit betekent dat de lading automatisch werd uitgevoerd op het moment dat een ontwikkelaar

npm install

De lading werd geïdentificeerd als een aangepaste variant van de publiek beschikbare Mini Shai-Hulud-worm, die wordt toegeschreven aan de bedreigingsacteur TeamPCP . Eenmaal actief gedroeg de ongeveer 4,2 MB grote, versluierde JavaScript-lading zich als een uitgebreide infostealer en richtte hij zich op een breed scala aan gevoelige gegevens :

• CI/CD- en automatiseringsgeheimen: GitHub Actions-geheimen en verse OIDC-tokens .
• Cloudplatform-credentials: Sleutels en tokens voor Amazon Web Services (AWS), Google Cloud Platform (GCP) en Microsoft Azure .
• Infrastructuurtokens: HashiCorp Vault-tokens voor geheimenbeheer en Kubernetes (kubeconfig)-tokens voor containerorkestratie .
• Ontwikkel- en toegangssleutels: SSH-privésleutels, npm-authenticatietokens en de inhoud van lokale .env-bestanden .

Naast pure diefstal had de worm een zelfverspreidend mechanisme. Als het detecteerde dat het gecompromitteerde systeem een Git-repository had met een origin-remote, kloonde het de repository, injecteerde het zijn kwaadaardige code, en pushde het de wijzigingen terug. Zo kon de malware zich verspreiden naar downstream-projecten en verder verbonden CI/CD-pipelines . Als afsluitend visitekaartje veranderde de worm de beschrijving van gecompromitteerde repositories in "Miasma: The Spreading Blight" .

De officiële reactie van Red Hat

Red Hat erkende het incident snel en publiceerde beveiligingsbulletin RHSB-2026-006 . Het bedrijf benadrukte dat de impact beperkt was. De gecompromitteerde pakketten waren uitsluitend interne frontend-componenten en API-client-tooling voor de Red Hat Hybrid Cloud Console.

Cruciaal was dat Red Hat verklaarde dat de van een backdoor voorziene code niet was verscheept in enige klantgerichte software of productieproducten. Het bedrijf verwijderde bij detectie onmiddellijk alle getroffen pakketten uit het npm-register .

Noodmaatregelen voor herstel

Beveiligingsbedrijven zoals Aikido, OX Security, Orca Security en Wiz hebben dringende richtlijnen uitgegeven voor elke organisatie die rond 1 juni 2026 pakketten uit de @redhat-cloud-services namespace heeft geïnstalleerd .

1. Roteer direct alle credentials

Ga ervan uit dat elke credential die in een getroffen omgeving aanwezig was, is gecompromitteerd. Dit omvat alle API-sleutels van cloudproviders, CI/CD-runner-tokens, SSH-sleutels, Vault-tokens en npm-publiceertokens. Roteren is de enige veilige weg vooruit.

2. Controleer Git-repositories op de handtekening van de worm

Doorzoek de GitHub-repositories van jouw organisatie. Elke repository met de beschrijving "Miasma: The Spreading Blight" is actief gecompromitteerd door de zelfverspreidingsmodule van de worm en bevat kwaadaardige code .

3. Controleer je GitHub Actions op afwijkingen

Voer een handmatige audit uit op je GitHub Actions-workflows. Let op onverwachte pull-requests, ongeautoriseerde wijzigingen in bestaande workflow-bestanden of de toevoeging van onbekende geheimen. Elke injectie op dit niveau is een kritiek persistentiemechanisme voor aanvallers .

4. Controleer geïnstalleerde pakketversies

Vergelijk jouw node_modules-map en 'lock'-bestanden met de complete lijst van 96 gecompromitteerde pakketversies die is gepubliceerd door Aikido en Red Hat. Als er een match wordt gevonden, beschouw die machine en de bijbehorende credentials dan als volledig gecompromitteerd en isoleer deze onmiddellijk .

Toeschrijving: de connectie met TeamPCP

De Miasma-lading is rechtstreeks afgeleid van de Mini Shai-Hulud-worm, een tool voor het verzamelen van inloggegevens die recentelijk open-source is gemaakt door bedreigingsacteur TeamPCP. De aanvallers breidden de basisworm uit met nieuwe modules specifiek gericht op cloud-credentials van GCP en Azure, wat aantoont dat de dreiging actief en continu in ontwikkeling is . De campagne onderstreept een gevaarlijke trend waarbij open-source aanvalstools snel worden ingezet als wapen en verfijnd voor spraakmakende supplychain-doelen.