Atac a la cadena de subministrament de miasma

Una campanya d'atac a la cadena de subministrament de programari recentment descoberta, anomenada Miasma, ha compromès diversos paquets npm de @redhat-cloud-services. L'operació està dissenyada per recopilar credencials i informació sensible dels entorns de desenvolupament mentre implementa un cuc autopropagador capaç de propagar-se més a través dels ecosistemes de desenvolupament de programari.

La campanya reflecteix fidelment les tàctiques associades anteriorment amb Mini Shai-Hulud , aprofitant l'execució en temps d'instal·lació, el robatori de credencials, el compromís de CI/CD, l'exfiltració de dades xifrades i mecanismes que permeten la propagació descendent.

L’atribució continua sent incerta

L'actor responsable de Miasma encara no s'ha identificat de manera concloent. L'atribució es complica pel fet que TeamPCP, també conegut com a Replicating Marauder, TGR-CRI-1135 i UNC6780, va publicar anteriorment les eines d'atac associades amb el cuc Shai-Hulud com a projectes de codi obert. Aquest desenvolupament ha permès a altres grups ciberdelinqüents replicar tècniques similars, cosa que dificulta significativament l'atribució definitiva.

Paquets npm compromesos

Els següents paquets npm s'han identificat com a afectats:

@redhat-cloud-services/vulnerabilitats-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/client-d'inventari-topològic

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Recollida de credencials mitjançant lògica d’instal·lació ofuscada

Investigadors de seguretat van descobrir que els paquets maliciosos contenen un ganxo de preinstal·lació ofuscat dissenyat per executar-se automàticament durant la instal·lació del paquet. El programari maliciós té com a objectiu una àmplia gamma d'actius sensibles, com ara secrets d'accions de GitHub, tokens d'autenticació npm, credencials al núvol, secrets de Kubernetes i HashiCorp Vault, claus SSH, credencials de Git i altres fitxers confidencials emmagatzemats en sistemes compromesos.

Com s'ha observat en campanyes anteriors de Mini Shai-Hulud, el programari maliciós incorpora rutines d'exfiltració xifrades. La informació robada es transmet a api.anthropic.com:443/v1/api, mentre que GitHub serveix com a canal d'exfiltració alternatiu. Aquesta estratègia de doble propòsit demostra un esforç no només per robar credencials, sinó també per convertir-les en una arma per a un major compromís de la cadena de subministrament de programari.

Els paquets de dades xifrades es confirmen a través de l'API de GitHub i els missatges de confirmació poden contenir la cadena:

Si invalideu aquest testimoni, destruirà l'ordinador del propietari:

Tècniques furtives i mecanismes de propagació

El programari maliciós inclou diverses mesures destinades a maximitzar la persistència, evadir la detecció i ampliar l'accés. Una característica destacable és l'evitació deliberada de l'execució en sistemes en rus, un comportament observat anteriorment a les campanyes de la cadena de subministrament de GlassWorm.

Per a entorns npm, el codi maliciós interactua amb l'intercanvi de tokens OIDC i els punts finals whoami, reempaqueta els arxius de programari en fitxers tar actualitzats i signa artefactes modificats mitjançant Sigstore. Les credencials robades s'exfiltren a repositoris públics de GitHub controlats per atacants que porten la descripció "Miasma: The Spreading Blight".

Els investigadors van identificar el primer commit conegut que contenia aquesta descripció el 29 de maig de 2026, cosa que suggereix l'inici de les operacions actives o una fase de proves inicial al voltant d'aquesta data.

Dins dels entorns de GitHub, el programari maliciós enumera els repositoris accessibles als tokens compromesos, analitza les definicions de flux de treball mitjançant consultes GraphQL i injecta fluxos de treball maliciosos mitjançant la mutació createCommitOnBranch. Aquest enfocament permet que els canvis maliciosos apareguin com a commits verificats i signats criptogràficament.

Funcions avançades de persistència i escalada de privilegis

L'anàlisi va revelar diverses capacitats addicionals integrades en el programari maliciós:

Intenta escalar privilegis llançant contenidors que munten el directori /etc/sudoers.d de l'amfitrió mitjançant un bind-mount i concedeixen accés sudo sense contrasenya als executors de CI.

Detecció de solucions de seguretat de punts finals, com ara CrowdStrike, SentinelOne, Carbon Black i StepSecurity Harden-Runner, abans d'iniciar activitats malicioses.

Mecanismes de persistència que injecten un hook SessionStart al codi Anthropic Claude i creen fitxers tasks.json maliciosos configurats amb 'runOn': 'folderOpen' per a projectes de Microsoft Visual Studio Code, garantint l'execució durant futures sessions de desenvolupament.

Major èmfasi en el compromís d’identitat al núvol

Una evolució important de la variant Miasma és el seu enfocament ampliat en la recopilació d'identitats al núvol. Els nous mòduls dirigits als entorns de Google Cloud Platform (GCP) i Microsoft Azure recopilen informació sobre totes les identitats al núvol accessibles des d'una màquina infectada.

Les variants anteriors es concentraven principalment en l'extracció de secrets d'entorns de núvol. L'addició de col·leccionistes centrats en la identitat indica un canvi estratègic cap a l'obtenció d'accés directe al núvol i l'explotació d'identitats privilegiades dins de les infraestructures de núvol.

Per complicar encara més els esforços de detecció, cada infecció genera una càrrega útil xifrada de manera única. Aquesta personalització dificulta significativament la detecció basada en signatures, el seguiment de programari maliciós i la correlació de versions entre incidents.

Compromís inicial i infiltració a la cadena de subministrament

Les proves disponibles suggereixen que la campanya es va originar a través del compromís del compte de GitHub d'un empleat de Red Hat. Els investigadors creuen que el compte va servir com a punt d'infecció inicial, permetent als atacants injectar codi maliciós als paquets afectats.

Segons sembla, el compte compromès va enviar commits orfes maliciosos a dos repositoris de Red Hat Insights, evitant els procediments de revisió de codi establerts i introduint la càrrega útil maliciosa a la cadena de subministrament de programari.

Guia de resposta i remediació d’incidents

Les organitzacions que hagin instal·lat versions de paquets afectades haurien d'aïllar immediatament els sistemes afectats, eliminar els paquets maliciosos, rotar totes les credencials potencialment exposades, investigar l'activitat de GitHub i npm per detectar signes d'accés no autoritzat i revisar els entorns per detectar mecanismes de persistència. Cal prestar especial atenció a les modificacions no autoritzades que impliquin:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml i .github/setup.js.

També s'haurien d'aplicar controls d'accés estrictes en entorns de desenvolupament i de núvol.

Com que el programari maliciós estableix capacitats d'execució en segon pla i persistència dins de les eines de desenvolupament, la simple desinstal·lació dels paquets npm afectats o l'eliminació del directori node_modules no s'hauria de considerar una solució suficient.

Per a entorns de CI/CD, les execucions de fluxos de treball afectades s'han de suspendre immediatament. Les organitzacions han d'invalidar els artefactes de compilació creats durant el període d'exposició i revisar a fons si es van generar versions, imatges de contenidors, paquets npm, artefactes de desplegament o altres components de programari després que el paquet maliciós s'introduís a l'entorn.