Ataque Miasma: O Worm que se Espalhou por Pacotes Oficiais da Red Hat e Roubou Credenciais de Desenvolvedores

Na manhã de 1º de junho de 2026, pesquisadores de segurança soaram o alarme sobre um sofisticado ataque à cadeia de suprimentos de software que se infiltrou silenciosamente no ecossistema JavaScript. Batizada de "Miasma: A Praga que se Espalha" (Miasma: The Spreading Blight), a campanha plantou um worm ladrão de credenciais e autorreplicante dentro de 32 pacotes npm oficiais, publicados sob o namespace @redhat-cloud-services, da Red Hat [5, 7, 12]. Ao todo, 96 versões maliciosas de pacotes foram identificadas, com uma média combinada de aproximadamente 117 mil downloads por semana [7, 14]. O ataque é um lembrete gritante de como a confiança em toda uma cadeia pode ruir a partir da conta de um único desenvolvedor.

Como o Atacante Conseguiu Acesso

A corrente de ataque não começou com uma exploração inédita de dia zero, mas com um clássico roubo de identidade. Um atacante obteve sucesso ao assumir o controle da conta legítima do GitHub de um funcionário da Red Hat [5, 12, 15]. Esse único ponto de falha abriu as portas para todo o pipeline de publicação confiável, porque a conta possuía acesso de escrita a três repositórios críticos dentro da organização da Red Hat no GitHub.

Burlando a Publicação Confiável por OIDC

O movimento mais astuto do atacante foi usar o acesso legítimo para contornar uma das mais fortes garantias de segurança modernas da cadeia de suprimentos. Eles usaram a conta comprometida para injetar fluxos de trabalho (workflows) maliciosos do GitHub Actions diretamente nos repositórios de código-fonte [5, 10].

Uma característica central desses workflows era o uso de OpenID Connect (OIDC) para "publicação confiável" (trusted publishing). Normalmente, o OIDC permite que o GitHub Actions se autentique no npm para publicar pacotes sem a necessidade de tokens de longa duração. Como os workflows maliciosos rodavam na infraestrutura oficial da Red Hat usando a conta comprometida, eles conseguiam gerar atestados de procedência SLSA válidos [4, 10, 16]. Isso efetivamente aplicou um selo de legitimidade formal e verificável aos pacotes adulterados, enganando desenvolvedores para que confiassem em versões com backdoor.

A Carga do Miasma: Um Ladrão de Credenciais que se Autoespalha

O código malicioso estava embutido em um script preinstall especificado no arquivo package.json. Isso significa que a carga maliciosa era executada automaticamente no momento em que um desenvolvedor rodava

npm install

A carga foi identificada como uma variante personalizada do worm Mini Shai-Hulud, disponível publicamente e associado ao ator de ameaça TeamPCP [2, 5, 10]. Uma vez em execução, o código JavaScript ofuscado, com cerca de 4,2 MB, agia como um ladrão de informações abrangente, visando uma vasta gama de dados sensíveis :

• Segredos de CI/CD e Automação: Segredos do GitHub Actions e tokens OIDC recém-gerados [2, 12].
• Credenciais de Plataformas de Nuvem: Chaves e tokens para Amazon Web Services (AWS), Google Cloud Platform (GCP) e Microsoft Azure [5, 12].
• Tokens de Infraestrutura: Tokens do HashiCorp Vault para gerenciamento de segredos e do Kubernetes (kubeconfig) para orquestração de contêineres [5, 12].
• Chaves de Desenvolvimento e Acesso: Chaves SSH privadas, tokens de autenticação do npm e o conteúdo de arquivos locais .env [2, 5, 10, 12].

Além do roubo puro, o worm possuía um mecanismo de autopropagação. Se detectasse que o sistema comprometido tinha um repositório Git configurado com um remote origin, ele clonava o repositório, injetava seu código malicioso e enviava as alterações de volta. Isso permitia que o malware se espalhasse para projetos downstream e ainda mais longe nos pipelines de CI/CD conectados [2, 12, 14]. Como uma assinatura final, o worm modificava a descrição dos repositórios comprometidos para exibir a frase "Miasma: The Spreading Blight" [5, 12].

A Resposta Oficial da Red Hat

A Red Hat rapidamente reconheceu o incidente e publicou o boletim de segurança RHSB-2026-006 . A empresa enfatizou que o raio de alcance do ataque foi contido. Os pacotes comprometidos estavam estritamente limitados a componentes internos de front-end e ferramentas de cliente de API usados para o Red Hat Hybrid Cloud Console.

De forma crítica, a Red Hat afirmou que o código do backdoor não foi distribuído em nenhum software voltado para o cliente ou em produtos Red Hat de produção. A empresa removeu imediatamente todos os pacotes afetados do registro npm assim que detectou a ameaça [1, 13, 15].

Passos de Remediação de Emergência

Empresas de segurança, incluindo Aikido, OX Security, Orca Security e Wiz, emitiram orientações urgentes para qualquer organização que possa ter instalado pacotes do namespace @redhat-cloud-services por volta de 1º de junho de 2026 [2, 5, 12, 14].

1. Faça o Rodízio de Todas as Credenciais Imediatamente

Assuma que qualquer credencial que existia em um ambiente afetado está comprometida. Isso inclui todas as chaves de API de provedores de nuvem, tokens de execução de CI/CD, chaves SSH, tokens do Vault e tokens de publicação do npm. A rotação é o único caminho seguro.

2. Audite os Repositórios Git em Busca da Assinatura do Worm

Pesquise nos repositórios GitHub da sua organização. Qualquer repositório com a string de descrição "Miasma: The Spreading Blight" foi ativamente comprometido pelo motor de autopropagação do worm e contém código malicioso [5, 12].

3. Revise os Workflows do GitHub Actions em Busca de Anomalias

Audite manualmente seus workflows do GitHub Actions. Procure por pull requests inesperados, modificações não autorizadas em arquivos de workflow existentes ou a adição de segredos desconhecidos. Qualquer injeção nesse nível representa um mecanismo crítico de persistência [2, 10].

4. Verifique as Versões de Pacotes Instalados

Faça uma verificação cruzada de seus node_modules e arquivos de lock com a lista completa das 96 versões de pacotes comprometidos, publicada por empresas como a Aikido e pela própria Red Hat. Se uma correspondência for encontrada, considere aquela máquina e suas credenciais associadas como totalmente comprometidas e isole-as imediatamente .

Atribuição: A Conexão com o TeamPCP

A carga do Miasma é diretamente derivada do worm Mini Shai-Hulud, uma ferramenta de coleta de credenciais que foi recentemente disponibilizada como código aberto pelo ator de ameaça TeamPCP. Os atacantes estenderam o worm base com novos coletores, visando especificamente credenciais da nuvem do GCP e do Azure, demonstrando uma evolução ativa e contínua da ameaça [2, 5, 10]. A campanha ressalta uma tendência perigosa, em que ferramentas de ataque de código aberto são rapidamente transformadas em armas e refinadas para atingir alvos de alto valor na cadeia de suprimentos.