Ataque Miasma: O Worm que se Espalhou por Pacotes Oficiais da Red Hat e Roubou Credenciais de Desenvolvedores
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi... O malware, uma variante do worm Mini Shai Hulud, se autoexecutava na instalação para coletar cre...
Publicado porEditado com DeepSeek-V4-ProImagens geradas com GPT Image 1.5
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi...
O malware, uma variante do worm Mini Shai Hulud, se autoexecutava na instalação para coletar credenciais da AWS, GCP e Azure, segredos do GitHub Actions, chaves SSH e tokens de acesso do desenvolvedor [2, 5, 10].
A Red Hat confirmou o ataque no boletim de segurança RHSB 2026 006, mas declarou que as bibliotecas de front end afetadas eram de uso interno e não causaram impacto em ambientes de clientes ou produtos de produção [1,...
What was the Miasma supply chain attack against Red Hat npm packages on June 1, 2026 — including how the compromise occurred via a Red Hat eThe Miasma worm used a compromised Red Hat employee account to inject malicious code into the official npm supply chain.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What was the Miasma supply chain attack against Red Hat npm packages on June 1, 2026 — including how the compromise occurred via a Red Hat e. Article summary: Here is a complete breakdown of the Miasma supply chain attack, confirmed by multiple security vendors and Red Hat's own advisory.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Red Hat npm packages compromised in new Mini Shai-Hulud malware wave. Unknown attackers have compromised 30+ Red Hat Cloud Services npm packages with malware that goes after cred" source context "Red Hat npm packages compromised in new Mini Shai-Hulud malware wave - Help Net Security" Reference image 2: visual subject "# Miasma: Supply Chain Attack Targeting RedHat npm Packages. Detect and mitigate malicious npm pa
openai.com
Na manhã de 1º de junho de 2026, pesquisadores de segurança soaram o alarme sobre um sofisticado ataque à cadeia de suprimentos de software que se infiltrou silenciosamente no ecossistema JavaScript. Batizada de "Miasma: A Praga que se Espalha" (Miasma: The Spreading Blight), a campanha plantou um worm ladrão de credenciais e autorreplicante dentro de 32 pacotes npm oficiais, publicados sob o namespace @redhat-cloud-services, da Red Hat . Ao todo, 96 versões maliciosas de pacotes foram identificadas, com uma média combinada de aproximadamente . O ataque é um lembrete gritante de como a confiança em toda uma cadeia pode ruir a partir da conta de um único desenvolvedor.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Ataque Miasma: O Worm que se Espalhou por Pacotes Oficiais da Red Hat e Roubou Credenciais de Desenvolvedores"?
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi...
Quais são os pontos-chave para validar primeiro?
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi... O malware, uma variante do worm Mini Shai Hulud, se autoexecutava na instalação para coletar credenciais da AWS, GCP e Azure, segredos do GitHub Actions, chaves SSH e tokens de acesso do desenvolvedor [2, 5, 10].
O que devo fazer a seguir na prática?
A Red Hat confirmou o ataque no boletim de segurança RHSB 2026 006, mas declarou que as bibliotecas de front end afetadas eram de uso interno e não causaram impacto em ambientes de clientes ou produtos de produção [1,...
Ataque Miasma: O Worm que se Espalhou por Pacotes Oficiais da Red Hat e Roubou Credenciais de Desenvolvedores
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi... O malware, uma variante do worm Mini Shai Hulud, se autoexecutava na instalação para coletar cre...
Publicado porEditado com DeepSeek-V4-ProImagens geradas com GPT Image 1.5
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi...
O malware, uma variante do worm Mini Shai Hulud, se autoexecutava na instalação para coletar credenciais da AWS, GCP e Azure, segredos do GitHub Actions, chaves SSH e tokens de acesso do desenvolvedor [2, 5, 10].
A Red Hat confirmou o ataque no boletim de segurança RHSB 2026 006, mas declarou que as bibliotecas de front end afetadas eram de uso interno e não causaram impacto em ambientes de clientes ou produtos de produção [1,...
What was the Miasma supply chain attack against Red Hat npm packages on June 1, 2026 — including how the compromise occurred via a Red Hat eThe Miasma worm used a compromised Red Hat employee account to inject malicious code into the official npm supply chain.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What was the Miasma supply chain attack against Red Hat npm packages on June 1, 2026 — including how the compromise occurred via a Red Hat e. Article summary: Here is a complete breakdown of the Miasma supply chain attack, confirmed by multiple security vendors and Red Hat's own advisory.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Red Hat npm packages compromised in new Mini Shai-Hulud malware wave. Unknown attackers have compromised 30+ Red Hat Cloud Services npm packages with malware that goes after cred" source context "Red Hat npm packages compromised in new Mini Shai-Hulud malware wave - Help Net Security" Reference image 2: visual subject "# Miasma: Supply Chain Attack Targeting RedHat npm Packages. Detect and mitigate malicious npm pa
openai.com
Na manhã de 1º de junho de 2026, pesquisadores de segurança soaram o alarme sobre um sofisticado ataque à cadeia de suprimentos de software que se infiltrou silenciosamente no ecossistema JavaScript. Batizada de "Miasma: A Praga que se Espalha" (Miasma: The Spreading Blight), a campanha plantou um worm ladrão de credenciais e autorreplicante dentro de 32 pacotes npm oficiais, publicados sob o namespace @redhat-cloud-services, da Red Hat . Ao todo, 96 versões maliciosas de pacotes foram identificadas, com uma média combinada de aproximadamente . O ataque é um lembrete gritante de como a confiança em toda uma cadeia pode ruir a partir da conta de um único desenvolvedor.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Ataque Miasma: O Worm que se Espalhou por Pacotes Oficiais da Red Hat e Roubou Credenciais de Desenvolvedores"?
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi...
Quais são os pontos-chave para validar primeiro?
Em 1º de junho de 2026, um worm ladrão de credenciais chamado "Miasma" foi descoberto em 32 pacotes npm oficiais da Red Hat, com cerca de 117 mil downloads semanais combinados; o ataque começou com o roubo da conta Gi... O malware, uma variante do worm Mini Shai Hulud, se autoexecutava na instalação para coletar credenciais da AWS, GCP e Azure, segredos do GitHub Actions, chaves SSH e tokens de acesso do desenvolvedor [2, 5, 10].
O que devo fazer a seguir na prática?
A Red Hat confirmou o ataque no boletim de segurança RHSB 2026 006, mas declarou que as bibliotecas de front end afetadas eram de uso interno e não causaram impacto em ambientes de clientes ou produtos de produção [1,...
A corrente de ataque não começou com uma exploração inédita de dia zero, mas com um clássico roubo de identidade. Um atacante obteve sucesso ao assumir o controle da conta legítima do GitHub de um funcionário da Red Hat . Esse único ponto de falha abriu as portas para todo o pipeline de publicação confiável, porque a conta possuía acesso de escrita a três repositórios críticos dentro da organização da Red Hat no GitHub.
Burlando a Publicação Confiável por OIDC
O movimento mais astuto do atacante foi usar o acesso legítimo para contornar uma das mais fortes garantias de segurança modernas da cadeia de suprimentos. Eles usaram a conta comprometida para injetar fluxos de trabalho (workflows) maliciosos do GitHub Actions diretamente nos repositórios de código-fonte .
Uma característica central desses workflows era o uso de OpenID Connect (OIDC) para "publicação confiável" (trusted publishing). Normalmente, o OIDC permite que o GitHub Actions se autentique no npm para publicar pacotes sem a necessidade de tokens de longa duração. Como os workflows maliciosos rodavam na infraestrutura oficial da Red Hat usando a conta comprometida, eles conseguiam gerar atestados de procedência SLSA válidos . Isso efetivamente aplicou um selo de legitimidade formal e verificável aos pacotes adulterados, enganando desenvolvedores para que confiassem em versões com backdoor.
A Carga do Miasma: Um Ladrão de Credenciais que se Autoespalha
O código malicioso estava embutido em um script preinstall especificado no arquivo package.json. Isso significa que a carga maliciosa era executada automaticamente no momento em que um desenvolvedor rodava npm install — não exigia nenhuma importação explícita ou inicialização da aplicação .
A carga foi identificada como uma variante personalizada do worm Mini Shai-Hulud, disponível publicamente e associado ao ator de ameaça TeamPCP. Uma vez em execução, o código JavaScript ofuscado, com cerca de 4,2 MB, agia como um ladrão de informações abrangente, visando uma vasta gama de dados sensíveis :
Segredos de CI/CD e Automação: Segredos do GitHub Actions e tokens OIDC recém-gerados .
Credenciais de Plataformas de Nuvem: Chaves e tokens para Amazon Web Services (AWS), Google Cloud Platform (GCP) e Microsoft Azure .
Tokens de Infraestrutura: Tokens do HashiCorp Vault para gerenciamento de segredos e do Kubernetes (kubeconfig) para orquestração de contêineres .
Chaves de Desenvolvimento e Acesso: Chaves SSH privadas, tokens de autenticação do npm e o conteúdo de arquivos locais .env.
Além do roubo puro, o worm possuía um mecanismo de autopropagação. Se detectasse que o sistema comprometido tinha um repositório Git configurado com um remote origin, ele clonava o repositório, injetava seu código malicioso e enviava as alterações de volta. Isso permitia que o malware se espalhasse para projetos downstream e ainda mais longe nos pipelines de CI/CD conectados . Como uma assinatura final, o worm modificava a descrição dos repositórios comprometidos para exibir a frase "Miasma: The Spreading Blight".
A Resposta Oficial da Red Hat
A Red Hat rapidamente reconheceu o incidente e publicou o boletim de segurança RHSB-2026-006. A empresa enfatizou que o raio de alcance do ataque foi contido. Os pacotes comprometidos estavam estritamente limitados a componentes internos de front-end e ferramentas de cliente de API usados para o Red Hat Hybrid Cloud Console.
De forma crítica, a Red Hat afirmou que o código do backdoor não foi distribuído em nenhum software voltado para o cliente ou em produtos Red Hat de produção. A empresa removeu imediatamente todos os pacotes afetados do registro npm assim que detectou a ameaça .
Passos de Remediação de Emergência
Empresas de segurança, incluindo Aikido, OX Security, Orca Security e Wiz, emitiram orientações urgentes para qualquer organização que possa ter instalado pacotes do namespace @redhat-cloud-services por volta de 1º de junho de 2026 .
1. Faça o Rodízio de Todas as Credenciais Imediatamente
Assuma que qualquer credencial que existia em um ambiente afetado está comprometida. Isso inclui todas as chaves de API de provedores de nuvem, tokens de execução de CI/CD, chaves SSH, tokens do Vault e tokens de publicação do npm. A rotação é o único caminho seguro.
2. Audite os Repositórios Git em Busca da Assinatura do Worm
Pesquise nos repositórios GitHub da sua organização. Qualquer repositório com a string de descrição "Miasma: The Spreading Blight" foi ativamente comprometido pelo motor de autopropagação do worm e contém código malicioso .
3. Revise os Workflows do GitHub Actions em Busca de Anomalias
Audite manualmente seus workflows do GitHub Actions. Procure por pull requests inesperados, modificações não autorizadas em arquivos de workflow existentes ou a adição de segredos desconhecidos. Qualquer injeção nesse nível representa um mecanismo crítico de persistência .
4. Verifique as Versões de Pacotes Instalados
Faça uma verificação cruzada de seus node_modules e arquivos de lock com a lista completa das 96 versões de pacotes comprometidos, publicada por empresas como a Aikido e pela própria Red Hat. Se uma correspondência for encontrada, considere aquela máquina e suas credenciais associadas como totalmente comprometidas e isole-as imediatamente .
Atribuição: A Conexão com o TeamPCP
A carga do Miasma é diretamente derivada do worm Mini Shai-Hulud, uma ferramenta de coleta de credenciais que foi recentemente disponibilizada como código aberto pelo ator de ameaça TeamPCP. Os atacantes estenderam o worm base com novos coletores, visando especificamente credenciais da nuvem do GCP e do Azure, demonstrando uma evolução ativa e contínua da ameaça . A campanha ressalta uma tendência perigosa, em que ferramentas de ataque de código aberto são rapidamente transformadas em armas e refinadas para atingir alvos de alto valor na cadeia de suprimentos.
app.daily.dev
Red Hat npm Packages Compromised in Supply-Chain ...
A corrente de ataque não começou com uma exploração inédita de dia zero, mas com um clássico roubo de identidade. Um atacante obteve sucesso ao assumir o controle da conta legítima do GitHub de um funcionário da Red Hat . Esse único ponto de falha abriu as portas para todo o pipeline de publicação confiável, porque a conta possuía acesso de escrita a três repositórios críticos dentro da organização da Red Hat no GitHub.
Burlando a Publicação Confiável por OIDC
O movimento mais astuto do atacante foi usar o acesso legítimo para contornar uma das mais fortes garantias de segurança modernas da cadeia de suprimentos. Eles usaram a conta comprometida para injetar fluxos de trabalho (workflows) maliciosos do GitHub Actions diretamente nos repositórios de código-fonte .
Uma característica central desses workflows era o uso de OpenID Connect (OIDC) para "publicação confiável" (trusted publishing). Normalmente, o OIDC permite que o GitHub Actions se autentique no npm para publicar pacotes sem a necessidade de tokens de longa duração. Como os workflows maliciosos rodavam na infraestrutura oficial da Red Hat usando a conta comprometida, eles conseguiam gerar atestados de procedência SLSA válidos . Isso efetivamente aplicou um selo de legitimidade formal e verificável aos pacotes adulterados, enganando desenvolvedores para que confiassem em versões com backdoor.
A Carga do Miasma: Um Ladrão de Credenciais que se Autoespalha
O código malicioso estava embutido em um script preinstall especificado no arquivo package.json. Isso significa que a carga maliciosa era executada automaticamente no momento em que um desenvolvedor rodava npm install — não exigia nenhuma importação explícita ou inicialização da aplicação .
A carga foi identificada como uma variante personalizada do worm Mini Shai-Hulud, disponível publicamente e associado ao ator de ameaça TeamPCP. Uma vez em execução, o código JavaScript ofuscado, com cerca de 4,2 MB, agia como um ladrão de informações abrangente, visando uma vasta gama de dados sensíveis :
Segredos de CI/CD e Automação: Segredos do GitHub Actions e tokens OIDC recém-gerados .
Credenciais de Plataformas de Nuvem: Chaves e tokens para Amazon Web Services (AWS), Google Cloud Platform (GCP) e Microsoft Azure .
Tokens de Infraestrutura: Tokens do HashiCorp Vault para gerenciamento de segredos e do Kubernetes (kubeconfig) para orquestração de contêineres .
Chaves de Desenvolvimento e Acesso: Chaves SSH privadas, tokens de autenticação do npm e o conteúdo de arquivos locais .env.
Além do roubo puro, o worm possuía um mecanismo de autopropagação. Se detectasse que o sistema comprometido tinha um repositório Git configurado com um remote origin, ele clonava o repositório, injetava seu código malicioso e enviava as alterações de volta. Isso permitia que o malware se espalhasse para projetos downstream e ainda mais longe nos pipelines de CI/CD conectados . Como uma assinatura final, o worm modificava a descrição dos repositórios comprometidos para exibir a frase "Miasma: The Spreading Blight".
A Resposta Oficial da Red Hat
A Red Hat rapidamente reconheceu o incidente e publicou o boletim de segurança RHSB-2026-006. A empresa enfatizou que o raio de alcance do ataque foi contido. Os pacotes comprometidos estavam estritamente limitados a componentes internos de front-end e ferramentas de cliente de API usados para o Red Hat Hybrid Cloud Console.
De forma crítica, a Red Hat afirmou que o código do backdoor não foi distribuído em nenhum software voltado para o cliente ou em produtos Red Hat de produção. A empresa removeu imediatamente todos os pacotes afetados do registro npm assim que detectou a ameaça .
Passos de Remediação de Emergência
Empresas de segurança, incluindo Aikido, OX Security, Orca Security e Wiz, emitiram orientações urgentes para qualquer organização que possa ter instalado pacotes do namespace @redhat-cloud-services por volta de 1º de junho de 2026 .
1. Faça o Rodízio de Todas as Credenciais Imediatamente
Assuma que qualquer credencial que existia em um ambiente afetado está comprometida. Isso inclui todas as chaves de API de provedores de nuvem, tokens de execução de CI/CD, chaves SSH, tokens do Vault e tokens de publicação do npm. A rotação é o único caminho seguro.
2. Audite os Repositórios Git em Busca da Assinatura do Worm
Pesquise nos repositórios GitHub da sua organização. Qualquer repositório com a string de descrição "Miasma: The Spreading Blight" foi ativamente comprometido pelo motor de autopropagação do worm e contém código malicioso .
3. Revise os Workflows do GitHub Actions em Busca de Anomalias
Audite manualmente seus workflows do GitHub Actions. Procure por pull requests inesperados, modificações não autorizadas em arquivos de workflow existentes ou a adição de segredos desconhecidos. Qualquer injeção nesse nível representa um mecanismo crítico de persistência .
4. Verifique as Versões de Pacotes Instalados
Faça uma verificação cruzada de seus node_modules e arquivos de lock com a lista completa das 96 versões de pacotes comprometidos, publicada por empresas como a Aikido e pela própria Red Hat. Se uma correspondência for encontrada, considere aquela máquina e suas credenciais associadas como totalmente comprometidas e isole-as imediatamente .
Atribuição: A Conexão com o TeamPCP
A carga do Miasma é diretamente derivada do worm Mini Shai-Hulud, uma ferramenta de coleta de credenciais que foi recentemente disponibilizada como código aberto pelo ator de ameaça TeamPCP. Os atacantes estenderam o worm base com novos coletores, visando especificamente credenciais da nuvem do GCP e do Azure, demonstrando uma evolução ativa e contínua da ameaça . A campanha ressalta uma tendência perigosa, em que ferramentas de ataque de código aberto são rapidamente transformadas em armas e refinadas para atingir alvos de alto valor na cadeia de suprimentos.
app.daily.dev
Red Hat npm Packages Compromised in Supply-Chain ...
