Атака по веригата за доставки в Миазма

Новооткрита кампания за атака срещу веригата за доставки на софтуер, наречена Miasma, е компрометирала множество npm пакети на @redhat-cloud-services. Операцията е предназначена да събира идентификационни данни и чувствителна информация от среди за разработчици, като същевременно внедрява саморазпространяващ се червей, способен да се разпространява допълнително чрез екосистемите за разработка на софтуер.

Кампанията отразява много добре тактиките, свързани преди това с Mini Shai-Hulud , използвайки изпълнение по време на инсталиране, кражба на идентификационни данни, компрометиране на CI/CD, изтичане на криптирани данни и механизми, които позволяват разпространение надолу по веригата.

Атрибуцията остава несигурна

Отговорният за Miasma злонамерен персонаж все още не е окончателно идентифициран. Определянето на вината се усложнява от факта, че TeamPCP, известен още като Replicating Marauder, TGR-CRI-1135 и UNC6780, вече е пуснал инструментите за атака, свързани с червея Shai-Hulud, като проекти с отворен код. Това развитие е позволило на други киберпрестъпни групи да възпроизведат подобни техники, което значително затруднява окончателното определяне на вината.

Компрометирани npm пакети

Следните npm пакети са идентифицирани като засегнати:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Събиране на идентификационни данни чрез обфусцирана логика на инсталиране

Изследователи по сигурността откриха, че злонамерените пакети съдържат обфускиран hook за предварително инсталиране, предназначен да се изпълнява автоматично по време на инсталирането на пакета. Злонамереният софтуер е насочен към широк спектър от чувствителни активи, включително секретни данни за GitHub Actions, токени за удостоверяване на npm, идентификационни данни за облак, секретни данни за Kubernetes и HashiCorp Vault, SSH ключове, идентификационни данни за Git и други поверителни файлове, съхранявани на компрометирани системи.

Както се наблюдаваше в по-ранни кампании Mini Shai-Hulud, зловредният софтуер включва криптирани процедури за извличане на информация. Открадната информация се предава на api.anthropic.com:443/v1/api, докато GitHub служи като алтернативен канал за извличане на информация. Тази стратегия с двойно предназначение демонстрира опит не само за кражба на идентификационни данни, но и за използването им като оръжие за по-нататъшно компрометиране на веригата за доставки на софтуер.

Криптираните пакети с данни се предават чрез GitHub API, а съобщенията за предаване могат да съдържат низа:

„Ако анулираш този токен, той ще унищожи компютъра на собственика:“

Стелт техники и механизми за разпространение

Зловредният софтуер включва няколко мерки, предназначени да увеличат максимално устойчивостта, да избегнат откриването и да разширят достъпа. Една забележителна характеристика е умишленото избягване на изпълнението на рускоезични системи, поведение, наблюдавано преди това в кампаниите за веригата за доставки на GlassWorm.

В npm среди, злонамереният код взаимодейства с OIDC токен обмен и whoami крайни точки, преопакова софтуерни архиви в актуализирани tarballs и подписва модифицирани артефакти, използвайки Sigstore. Откраднатите идентификационни данни след това се прехвърлят в контролирани от атакуващите публични GitHub хранилища, носещи описанието „Miasma: The Spreading Blight“.

Разследващите са идентифицирали най-ранния известен коммит, съдържащ това описание, на 29 май 2026 г., което предполага или началото на активни операции, или начална фаза на тестване около тази дата.

В GitHub среди, зловредният софтуер изброява хранилища, достъпни за компрометирани токени, анализира дефинициите на работни процеси чрез GraphQL заявки и инжектира злонамерени работни процеси, използвайки мутацията createCommitOnBranch. Този подход позволява злонамерените промени да се показват като проверени и криптографски подписани комити.

Разширени функции за запазване и ескалация на привилегиите

Анализът разкри няколко допълнителни възможности, вградени в зловредния софтуер:

Опити за ескалиране на привилегии чрез стартиране на контейнери, които монтират директорията /etc/sudoers.d на хоста и предоставят достъп без парола чрез sudo на CI изпълнители.

Откриване на решения за сигурност на крайните точки, включително CrowdStrike, SentinelOne, Carbon Black и StepSecurity Harden-Runner, преди започване на злонамерена дейност.

Механизми за постоянство, които инжектират SessionStart hook в Anthropic Claude Code и създават злонамерени tasks.json файлове, конфигурирани с 'runOn': 'folderOpen' за проекти на Microsoft Visual Studio Code, осигурявайки изпълнение по време на бъдещи сесии за разработка.

Повишен фокус върху компрометирането на облачната идентичност

Основна еволюция във варианта Miasma е разширеният му фокус върху събирането на облачни идентичности. Нови модули, насочени към среди на Google Cloud Platform (GCP) и Microsoft Azure, събират информация за всички облачни идентичности, достъпни от заразена машина.

Предишните варианти се концентрираха предимно върху извличането на тайни от облачни среди. Добавянето на колектори, фокусирани върху идентичността, показва стратегическа промяна към получаване на директен достъп до облака и използване на привилегировани идентичности в рамките на облачните инфраструктури.

Допълнително усложнявайки усилията за откриване, всяка инфекция генерира уникално криптиран полезен товар. Тази персонализация значително възпрепятства откриването въз основа на сигнатури, проследяването на зловреден софтуер и корелацията на версиите между инцидентите.

Първоначален компрометиращ фактор и проникване във веригата за доставки

Наличните доказателства сочат, че кампанията е възникнала чрез компрометиране на GitHub акаунт на служител на Red Hat. Разследващите смятат, че акаунтът е послужил като начална точка на заразяване, позволявайки на атакуващите да инжектират зловреден код в засегнатите пакети.

Според съобщенията компрометираният акаунт е изместил злонамерени осиротели коммити в два хранилища на Red Hat Insights, заобикаляйки установените процедури за преглед на кода и въвеждайки злонамерения полезен товар във веригата за доставки на софтуер.

Ръководство за реагиране при инциденти и отстраняване на последиците

Организациите, които са инсталирали засегнатите версии на пакети, трябва незабавно да изолират засегнатите системи, да премахнат злонамерени пакети, да ротират всички потенциално изложени идентификационни данни, да проучат активността в GitHub и npm за признаци на неоторизиран достъп и да прегледат среди за механизми за запазване на данните. Особено внимание трябва да се обърне на неоторизираните модификации, включващи:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml и .github/setup.js.

Строг контрол на достъпа трябва да се прилага и в развойните и облачните среди.

Тъй като зловредният софтуер установява възможности за фоново изпълнение и постоянство в инструментите за разработчици, простото деинсталиране на засегнатите npm пакети или изтриването на директорията node_modules не трябва да се счита за достатъчно средство за отстраняване.

За CI/CD среди, засегнатите изпълнения на работни процеси трябва да бъдат незабавно спрени. Организациите трябва да анулират артефактите за компилация, създадени по време на периода на експозиция, и да проверят внимателно дали издания, изображения на контейнери, npm пакети, артефакти за внедряване или други софтуерни компоненти са генерирани след въвеждането на злонамерен пакет в средата.