Атака Miasma на Red Hat: викрадений обліковий запис заразив 32 npm пакети хробаком-шпигуном

Обхід довіреного видавництва через OIDC

Найпідступнішим кроком зловмисника було використання легітимного доступу для обходу однієї з найсильніших сучасних гарантій безпеки ланцюга постачання. Він використав скомпрометований акаунт, щоб впровадити шкідливі GitHub Actions воркфлоу безпосередньо у вихідні репозиторії .

Ключовою особливістю цих воркфлоу було використання ними протоколу OpenID Connect (OIDC) для довіреного видавництва. Зазвичай OIDC дозволяє GitHub Actions автентифікуватися в npm для публікації пакетів без використання довготривалих токенів. Оскільки шкідливі воркфлоу запускалися на офіційній інфраструктурі Red Hat з використанням скомпрометованого акаунта, вони змогли згенерувати дійсні атестації походження SLSA. Це фактично поставило верифікований, формальний штамп легітимності на шкідливі пакети, змусивши розробників довіряти зараженим релізам .

Шкідливе навантаження Miasma: самопоширюваний збирач облікових даних

Шкідливий код було вбудовано у скрипт preinstall, визначений у файлі package.json. Це означало, що шкідливе навантаження виконувалося автоматично, щойно розробник запускав команду

npm install

Шкідливе навантаження було ідентифіковано як спеціальний варіант публічно доступного хробака Mini Shai-Hulud, пов'язаного зі зловмисником TeamPCP . Після запуску цей близько 4,2 МБ обфускований JavaScript-код діяв як комплексний інформаційний злодій, націлений на широкий спектр конфіденційної інформації :

• Секрети CI/CD і автоматизації: секрети GitHub Actions та свіжі OIDC токени .
• Облікові дані хмарних платформ: ключі та токени для Amazon Web Services (AWS), Google Cloud Platform (GCP) та Microsoft Azure .
• Інфраструктурні токени: токени HashiCorp Vault для управління секретами та токени Kubernetes (kubeconfig) для оркестрації контейнерів .
• Ключі розробки та доступу: приватні SSH-ключі, токени автентифікації npm та вміст локальних файлів .env .

Окрім прямого викрадення, хробак мав механізм самопоширення. Якщо він виявляв, що на скомпрометованій системі налаштовано Git-репозиторій з віддаленим джерелом origin, він клонував репозиторій, впроваджував свій шкідливий код і надсилав зміни назад. Це дозволяло зловмисному ПЗ поширюватися на залежні проєкти та далі в підключені CI/CD конвеєри . Як фінальний автограф, хробак змінював опис скомпрометованих репозиторіїв на «Miasma: The Spreading Blight» .

Офіційна відповідь Red Hat

Red Hat оперативно визнала інцидент і опублікувала бюлетень безпеки RHSB-2026-006 . Компанія підкреслила, що радіус ураження атаки було обмежено. Скомпрометовані пакети стосувалися виключно внутрішніх фронтенд компонентів та інструментів API-клієнтів, які використовуються для Red Hat Hybrid Cloud Console.

Що критично важливо, Red Hat заявила, що шкідливий код не постачався в жодному клієнтському програмному забезпеченні або готових продуктах Red Hat. Після виявлення компанія негайно видалила всі уражені пакети з реєстру npm .

Невідкладні кроки з усунення наслідків

Охоронні компанії, зокрема Aikido, OX Security, Orca Security та Wiz, опублікували невідкладні рекомендації для будь-яких організацій, які могли встановити пакети з простору імен @redhat-cloud-services 1 червня 2026 року або близько цієї дати .

1. Негайно змініть усі облікові дані

Вважайте, що будь-які облікові дані, які існували в ураженому середовищі, є скомпрометованими. Це включає всі API-ключі хмарних провайдерів, токени раннерів CI/CD, SSH-ключі, токени Vault та токени для публікації в npm. Єдиний безпечний шлях — це ротація, тобто заміна на нові.

2. Перевірте Git-репозиторії на наявність ознак хробака

Здійсніть пошук у GitHub-репозиторіях вашої організації. Будь-який репозиторій з описом «Miasma: The Spreading Blight» був активно скомпрометований механізмом самопоширення хробака і містить шкідливий код .

3. Перевірте GitHub Actions на наявність аномалій

Вручну проведіть аудит ваших GitHub Actions воркфлоу. Звертайте увагу на несподівані pull-запити, несанкціоновані зміни в існуючих файлах воркфлоу або додавання невідомих секретів. Будь-яке впровадження на цьому рівні є критичним механізмом збереження присутності зловмисника в системі .

4. Перевірте встановлені версії пакетів

Порівняйте ваші директорії node_modules та lock-файли з повним списком 96 скомпрометованих версій пакетів, опублікованим компаніями Aikido та Red Hat. Якщо збіг буде знайдено, вважайте цю машину та пов'язані з нею облікові дані повністю скомпрометованими і негайно ізолюйте її .

Атрибуція: зв'язок з TeamPCP

Шкідливе навантаження Miasma безпосередньо походить від хробака Mini Shai-Hulud, інструменту для збору облікових даних, який нещодавно був опублікований у відкритому доступі зловмисником TeamPCP. Атакувальники розширили базового хробака новими модулями збору, спеціально націленими на облікові дані хмарних платформ GCP та Azure, що демонструє активну та постійну еволюцію загрози . Ця кампанія підкреслює небезпечну тенденцію, коли інструменти атак з відкритим кодом швидко беруться на озброєння та вдосконалюються для націлювання на високоцінні ланцюги постачання.