Miasma forsyningskædeangreb

En nyligt opdaget angrebskampagne mod softwareforsyningskæden, kaldet Miasma, har kompromitteret flere @redhat-cloud-services npm-pakker. Operationen er designet til at indsamle legitimationsoplysninger og følsomme oplysninger fra udviklermiljøer, samtidig med at den implementerer en selvudbredende orm, der er i stand til at sprede sig yderligere gennem softwareudviklingsøkosystemer.

Kampagnen afspejler nøje de taktikker, der tidligere blev forbundet med Mini Shai-Hulud , og udnytter udførelse under installation, tyveri af legitimationsoplysninger, CI/CD-kompromittering, krypteret dataudvinding og mekanismer, der muliggør downstream-udbredelse.

Tilskrivning forbliver usikker

Trusselsaktøren bag Miasma er endnu ikke endeligt identificeret. Tilskrivningen kompliceres af, at TeamPCP, også kendt som Replicating Marauder, TGR-CRI-1135 og UNC6780, tidligere har udgivet angrebsværktøjerne forbundet med Shai-Hulud-ormen som open source-projekter. Denne udvikling har gjort det muligt for andre cyberkriminelle grupper at replikere lignende teknikker, hvilket gør det betydeligt vanskeligere at fastslå den endelige tilskrivning.

Kompromitterede npm-pakker

Følgende npm-pakker er blevet identificeret som berørte:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topologisk-opgørelsesklient

@redhat-cloud-services/sources-client

@redhat-cloud-services/regelkomponenter

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-klient

Indsamling af legitimationsoplysninger gennem obfuskeret installationslogik

Sikkerhedsforskere opdagede, at de ondsindede pakker indeholder en forvirret preinstall-hook, der er designet til at udføres automatisk under pakkeinstallationen. Malwaren er rettet mod en bred vifte af følsomme aktiver, herunder GitHub Actions-hemmeligheder, npm-godkendelsestokens, cloud-legitimationsoplysninger, Kubernetes- og HashiCorp Vault-hemmeligheder, SSH-nøgler, Git-legitimationsoplysninger og andre fortrolige filer, der er gemt på kompromitterede systemer.

Som observeret i tidligere Mini Shai-Hulud-kampagner, inkorporerer malwaren krypterede eksfiltreringsrutiner. Stjålne oplysninger transmitteres til api.anthropic.com:443/v1/api, mens GitHub fungerer som en alternativ eksfiltreringskanal. Denne strategi med dobbelt formål demonstrerer en indsats ikke kun for at stjæle legitimationsoplysninger, men også for at udnytte dem som våben til yderligere kompromittering af softwareforsyningskæden.

Krypterede datapakker committes via GitHub API'en, og commit-meddelelser kan indeholde strengen:

'Hvis du ugyldiggør denne token, vil den atombombe ejerens computer:'

Stealth-teknikker og udbredelsesmekanismer

Malwaren omfatter adskillige foranstaltninger, der har til formål at maksimere persistens, undgå detektion og udvide adgang. Et bemærkelsesværdigt kendetegn er den bevidste undgåelse af udførelse på russisksprogede systemer, en adfærd, der tidligere er observeret i GlassWorm-forsyningskædekampagnerne.

I npm-miljøer interagerer den skadelige kode med OIDC-tokenudveksling og whoami-slutpunkter, ompakker softwarearkiver til opdaterede tarballs og signerer modificerede artefakter ved hjælp af Sigstore. Stjålne legitimationsoplysninger eksfiltreres derefter til angriberkontrollerede offentlige GitHub-arkiver med beskrivelsen 'Miasma: The Spreading Blight'.

Efterforskere identificerede den tidligst kendte commit, der indeholder denne beskrivelse, den 29. maj 2026, hvilket tyder på enten begyndelsen af aktive operationer eller en indledende testfase omkring denne dato.

I GitHub-miljøer opregner malwaren lagre, der er tilgængelige for kompromitterede tokens, analyserer workflowdefinitioner via GraphQL-forespørgsler og indsætter ondsindede workflows ved hjælp af createCommitOnBranch-mutationen. Denne tilgang tillader, at ondsindede ændringer vises som verificerede og kryptografisk signerede commits.

Avancerede funktioner til persistens og privilegieskalering

Analysen afslørede adskillige yderligere funktioner indlejret i malwaren:

Forsøger at eskalere privilegier ved at starte containere, der binder-monterer værtens /etc/sudoers.d-mappe og giver adgangskodefri sudo-adgang til CI-løbere.

Detektion af endpoint-sikkerhedsløsninger, herunder CrowdStrike, SentinelOne, Carbon Black og StepSecurity Harden-Runner, før ondsindet aktivitet igangsættes.

Persistensmekanismer, der injicerer en SessionStart-hook i Anthropic Claude Code og opretter ondsindede tasks.json-filer konfigureret med 'runOn': 'folderOpen' til Microsoft Visual Studio Code-projekter, hvilket sikrer udførelse under fremtidige udviklingssessioner.

Øget fokus på kompromitteret cloudidentitet

En væsentlig udvikling i Miasma-varianten er dens udvidede fokus på indsamling af cloudidentiteter. Nye moduler, der er målrettet Google Cloud Platform (GCP) og Microsoft Azure-miljøer, indsamler oplysninger om alle cloudidentiteter, der er tilgængelige fra en inficeret maskine.

Tidligere varianter fokuserede primært på at udtrække hemmeligheder fra cloud-miljøer. Tilføjelsen af identitetsfokuserede indsamlere indikerer et strategisk skift i retning af at opnå direkte cloud-adgang og udnytte privilegerede identiteter inden for cloud-infrastrukturer.

For yderligere at komplicere detektionsindsatsen genererer hver infektion en unik krypteret nyttelast. Denne tilpasning hindrer signaturbaseret detektion, malwaresporing og versionskorrelation på tværs af hændelser betydeligt.

Indledende kompromis og infiltration af forsyningskæden

Tilgængelig dokumentation tyder på, at kampagnen opstod ved kompromittering af en Red Hat-medarbejders GitHub-konto. Efterforskere mener, at kontoen fungerede som det oprindelige infektionspunkt, hvilket gjorde det muligt for angribere at injicere skadelig kode i berørte pakker.

Den kompromitterede konto sendte angiveligt ondsindede, forældreløse commits til to Red Hat Insights-lagre, omgik etablerede kodegennemgangsprocedurer og introducerede den ondsindede nyttelast i softwareforsyningskæden.

Vejledning til håndtering af hændelser og afhjælpning

Organisationer, der har installeret berørte pakkeversioner, bør straks isolere berørte systemer, fjerne skadelige pakker, rotere alle potentielt eksponerede legitimationsoplysninger, undersøge GitHub- og npm-aktivitet for tegn på uautoriseret adgang og gennemgå miljøer for persistensmekanismer. Der bør lægges særlig vægt på uautoriserede ændringer, der involverer:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml og .github/setup.js.

Der bør også håndhæves stærke adgangskontroller på tværs af udviklings- og cloudmiljøer.

Da malwaren etablerer baggrundsudførelseskapacitet og persistens i udviklerværktøjer, bør det ikke betragtes som tilstrækkelig afhjælpning blot at afinstallere de berørte npm-pakker eller slette node_modules-mappen.

For CI/CD-miljøer bør berørte arbejdsgangsudførelser suspenderes øjeblikkeligt. Organisationer bør ugyldiggøre build-artefakter, der er oprettet i eksponeringsperioden, og grundigt gennemgå, om udgivelser, containerbilleder, npm-pakker, implementeringsartefakter eller andre softwarekomponenter blev genereret, efter at den skadelige pakke blev introduceret i miljøet.