Атака Red Hat Miasma: как один взломанный аккаунт поставил под удар экосистему npm

Утром 1 июня 2026 года исследователи безопасности забили тревогу: сложная атака на цепочку поставок в экосистеме JavaScript тихо проникла в официальные пакеты Red Hat. Кампания, получившая имя «Miasma: The Spreading Blight» («Миазма: расползающаяся порча»), заразила похищающим данные самовоспроизводящимся червем 32 npm-пакета в пространстве имён @redhat-cloud-services . Всего было выявлено 96 вредоносных версий с суммарным недельным числом загрузок около 117 000 . Инцидент стал жёстким напоминанием о каскадных провалах доверия, к которым может привести компрометация всего одной учётной записи разработчика.

Как злоумышленник получил доступ

Никаких зрелищных zero-day-уязвимостей — на этот раз цепочка компрометации началась с классической кражи личности. Злоумышленник завладел легитимным GitHub-аккаунтом сотрудника Red Hat . Этой единственной точки отказа оказалось достаточно, чтобы открыть дверь сразу в три критических репозитория внутри организации Red Hat на GitHub.

Обход OIDC Trusted Publishing

Самый хитрый ход — использование легитимного доступа для обхода одной из самых сильных современных гарантий безопасности конвейеров поставки. Злоумышленник встроил вредоносные GitHub Actions Workflows непосредственно в исходные репозитории .

Принципиально важно здесь то, что эти Workflows использовали OpenID Connect (OIDC) — механизм trusted publishing, позволяющий GitHub Actions аутентифицироваться в npm без долгоживущих токенов. Поскольку вредоносные Workflows выполнялись на официальной инфраструктуре Red Hat от имени скомпрометированного аккаунта, они смогли сгенерировать валидные SLSA provenance attestations. Иными словами, зловредные релизы получили формально верифицированную «печать легитимности», вводя разработчиков в заблуждение и заставляя их доверять заражённым сборкам .

Полезная нагрузка Miasma: саморазмножающийся похититель данных

Вредоносный код был спрятан в preinstall-скрипте, прописанном в package.json. Это означало, что payload срабатывал автоматически, как только разработчик запускал

npm install

Начинка оказалась кастомной версией публично доступного червя Mini Shai-Hulud, ассоциируемого с группировкой TeamPCP . После запуска обфусцированный JavaScript-файл размером около 4,2 МБ работал как комплексный похититель учётных данных, нацеленный на широкий спектр чувствительной информации :

• Секреты CI/CD и автоматизации: секреты GitHub Actions и свежие OIDC-токены .
• Учётные данные облачных платформ: ключи и токены для Amazon Web Services (AWS), Google Cloud Platform (GCP) и Microsoft Azure .
• Инфраструктурные токены: токены HashiCorp Vault для управления секретами и Kubernetes (kubeconfig) для контейнерной оркестрации .
• Ключи разработки и доступа: SSH-приватные ключи, npm-токены аутентификации и содержимое локальных .env-файлов .

Помимо простого воровства, у червя был механизм самораспространения. Если он обнаруживал, что на скомпрометированной системе настроен Git-репозиторий с удалённым origin, он клонировал репозиторий, внедрял свой вредоносный код и отправлял изменения обратно. Так зловред мог перебираться в downstream-проекты и дальше по подключённым CI/CD-конвейерам . В качестве завершающего штриха червь менял описание заражённых репозиториев на «Miasma: The Spreading Blight» .

Официальный ответ Red Hat

Red Hat оперативно признала инцидент и выпустила бюллетень безопасности RHSB-2026-006 . Компания подчеркнула, что радиус поражения ограничен: скомпрометированные пакеты использовались исключительно во внутренних фронтенд-компонентах и API-клиентах для Red Hat Hybrid Cloud Console.

Критически важно: Red Hat заявила, что заражённый код не поставлялся ни в одном клиентском ПО и не попал в production-продукты. Все затронутые пакеты были немедленно удалены из реестра npm после обнаружения .

Экстренные меры для пострадавших

Компании Aikido, OX Security, Orca Security и Wiz выпустили срочные рекомендации для всех организаций, которые могли установить пакеты из @redhat-cloud-services в районе 1 июня 2026 года .

1. Немедленно обновите все учётные данные

Исходите из того, что любые ключи, существовавшие в затронутой среде, скомпрометированы: API-ключи облачных провайдеров, токены CI/CD, SSH-ключи, токены Vault, npm-токены. Ротация — единственный безопасный путь вперёд.

2. Проверьте Git-репозитории на сигнатуру червя

Поищите по GitHub-репозиториям вашей организации. Любой репозиторий с описанием «Miasma: The Spreading Blight» был активно заражён механизмом самораспространения и содержит вредоносный код .

3. Проверьте GitHub Actions на аномалии

Вручную проанализируйте Workflows. Ищите неожиданные pull request'ы, несанкционированные изменения в файлах Workflows и добавление неизвестных секретов. Подобная инъекция — механизм критического закрепления в системе .

4. Сверьте версии установленных пакетов

Сопоставьте node_modules и lock-файлы с полным списком 96 скомпрометированных версий, опубликованным Aikido и Red Hat. При совпадении считайте машину и связанные с ней учётные данные полностью заражёнными и немедленно изолируйте их .

Кто стоит за атакой: след TeamPCP

Полезная нагрузка Miasma напрямую происходит от червя Mini Shai-Hulud — инструмента для сбора учётных данных, который недавно выложила в открытый доступ преступная группа TeamPCP. Атакующие расширили базового червя новыми сборщиками, ориентированными на облачные учётные данные GCP и Azure, — это говорит об активной и продолжающейся эволюции угрозы . Кампания подчёркивает опасный тренд: открытые хакерские инструменты быстро дорабатываются и превращаются в оружие против самых лакомых целей в цепочках поставок.