Miasma-angrepet: En stjålet GitHub-konto forgiftet 32 Red Hat npm-pakker

Morgenen 1. juni 2026 slo sikkerhetsforskere alarm om et sofistikert angrep på programvareleverandørkjeden som stille hadde infiltrert JavaScript-økosystemet. Kampanjen, kalt «Miasma: The Spreading Blight», plantet en legitimasjonstjelende, selvformerende orm i 32 offisielle npm-pakker publisert under Red Hats @redhat-cloud-services-navnerom . Totalt ble 96 ondsinnede pakkeversjoner identifisert, med et samlet ukentlig nedlastingsvolum på rundt 117 000 . Angrepet er en brutal påminnelse om de kaskadeeffektene av tillitsbrudd som kan oppstå når én enkelt utviklerkonto blir kompromittert.

Slik fikk angriperen tilgang

Angrepskjeden startet ikke med et nytt null-dagers-sårbarhet, men med et klassisk identitetstyveri. En angriper klarte å få kontroll over en legitim GitHub-konto tilhørende en Red Hat-ansatt . Dette ene feilpunktet åpnet døren til hele den pålitelige publiseringssløyfen fordi kontoen hadde skrivetilgang til tre kritiske kodelagre i Red Hats GitHub-organisasjon.

Omgåelse av OIDC-basert pålitelig publisering

Angriperens mest utspekulerte trekk var å utnytte den legitime tilgangen til å omgå en av leverandørkjedens sterkeste moderne sikkerhetsmekanismer. De brukte den kompromitterte kontoen til å injisere ondsinnede GitHub Actions-arbeidsflyter direkte inn i kildekodelagrene .

En sentral egenskap ved disse arbeidsflytene var bruken av OpenID Connect (OIDC) for pålitelig publisering. Normalt lar OIDC GitHub Actions autentisere seg mot npm for å publisere pakker uten langvarige tokens. Fordi de ondsinnede arbeidsflytene kjørte på Red Hats offisielle infrastruktur med den kompromitterte kontoen, kunne de generere gyldige SLSA-herkomstattesteringer. Dette ga i praksis de tuklede pakkene et verifiserbart, formelt stempel av legitimitet, og lurte utviklere til å stole på infiserte utgaver .

Miasma-nyttelasten: En selvformerende legitimasjonstyv

Den ondsinnede koden var innebygd i et preinstall-skript spesifisert i package.json-filen. Dette betydde at nyttelasten ble kjørt automatisk i det øyeblikket en utvikler kjørte

npm install

Nyttelasten ble identifisert som en egendefinert variant av den offentlig tilgjengelige Mini Shai-Hulud-ormen, assosiert med trusselaktøren TeamPCP . Når den kjørte, fungerte den omtrent 4,2 MB store, obfuskerte JavaScript-nyttelasten som en omfattende infotyver, rettet mot et bredt spekter av sensitivt materiale :

• CI/CD- og automatiseringshemmeligheter: GitHub Actions-hemmeligheter og ferske OIDC-tokens .
• Skyleverandørers påloggingsinformasjon: Nøkler og tokens for Amazon Web Services (AWS), Google Cloud Platform (GCP) og Microsoft Azure .
• Infrastrukturtokens: HashiCorp Vault-tokens for hemmelighetshåndtering og Kubernetes-tokens (kubeconfig) for orkestrering av containere .
• Utviklings- og tilgangsnøkler: Private SSH-nøkler, npm-autentiseringstokens og innholdet i lokale .env-filer .

Utover ren tyveri, hadde ormen en selvformeringsmekanisme. Hvis den oppdaget at det kompromitterte systemet hadde et Git-kodelager konfigurert med en origin-ekstern, ville den klone kodelageret, injisere sin ondsinnede kode og dytte endringene tilbake. Dette tillot skadevaren å spre seg til nedstrømsprosjekter og videre inn i tilkoblede CI/CD-sløyfer . Som en siste signatur endret ormen beskrivelsen av kompromitterte kodelagre til å lese «Miasma: The Spreading Blight» .

Red Hats offisielle respons

Red Hat erkjente raskt hendelsen og publiserte sikkerhetsbulletinen RHSB-2026-006 . Selskapet understreket at angrepets skadeomfang var begrenset. De kompromitterte pakkene var strengt begrenset til interne frontend-komponenter og API-klientverktøy brukt til Red Hat Hybrid Cloud Console.

Kritisk nok uttalte Red Hat at den infiserte koden ikke ble sendt i noen kundevendt programvare eller i Red Hats produksjonsprodukter. Selskapet fjernet umiddelbart alle berørte pakker fra npm-registeret etter oppdagelse .

Anbefalte strakstiltak

Sikkerhetsselskaper som Aikido, OX Security, Orca Security og Wiz har utstedt presserende veiledning for enhver organisasjon som kan ha installert pakker fra @redhat-cloud-services-navnerommet den 1. juni 2026 eller i dagene rundt .

1. Roter all påloggingsinformasjon umiddelbart

Anta at all påloggingsinformasjon som eksisterte i et berørt miljø er kompromittert. Dette inkluderer alle API-nøkler for skyleverandører, CI/CD-kjøringstokens, SSH-nøkler, Vault-tokens og npm-publiseringstokens. Rotering er eneste trygge vei videre.

2. Gjennomgå Git-kodelagre for ormens signatur

Søk gjennom organisasjonens GitHub-kodelagre. Ethvert kodelager med beskrivelsesteksten «Miasma: The Spreading Blight» har blitt aktivt kompromittert av ormens selvformeringsmotor og inneholder ondsinnet kode .

3. Se etter avvik i GitHub Actions

Gjør en manuell gjennomgang av dine GitHub Actions-arbeidsflyter. Se etter uventede pull-forespørsler, uautoriserte endringer i eksisterende arbeidsflytfiler eller tillegg av ukjente hemmeligheter. Enhver injeksjon på dette nivået representerer en kritisk persistensmekanisme .

4. Sjekk installerte pakkeversjoner

Kryssreferer dine node_modules-mapper og låsefiler mot den fullstendige listen over 96 kompromitterte pakkeversjoner publisert av Aikido og Red Hat. Hvis du finner et treff, bør du anse den maskinen og tilhørende påloggingsinformasjon som fullstendig kompromittert og umiddelbart isolere den .

Sporing: TeamPCP-koblingen

Miasma-nyttelasten er direkte avledet fra Mini Shai-Hulud-ormen, et verktøy for høsting av påloggingsinformasjon som nylig ble åpen-kilde-publisert av trusselaktøren TeamPCP. Angriperne utvidet basis-ormen med nye innsamlere spesifikt rettet mot GCP- og Azure-skyleverandørers påloggingsinformasjon, noe som demonstrerer en aktiv og pågående utvikling av trusselen . Kampanjen understreker en farlig trend der åpen-kilde angrepsverktøy raskt blir våpenisert og raffinert for høyverdige mål i leverandørkjeden.