Napad na lanac opskrbe u Miasmi

Novootkrivena kampanja napada na lanac opskrbe softverom, nazvana Miasma, kompromitirala je više npm paketa @redhat-cloud-services. Operacija je osmišljena za prikupljanje vjerodajnica i osjetljivih informacija iz razvojnih okruženja, a istovremeno implementira samorazmnožavajući crv sposoban za daljnje širenje kroz ekosustave razvoja softvera.

Kampanja blisko odražava taktike prethodno povezane s Mini Shai-Huludom , iskorištavajući izvršavanje tijekom instalacije, krađu vjerodajnica, kompromitiranje CI/CD-a, eksfiltraciju šifriranih podataka i mehanizme koji omogućuju širenje nizvodno.

Atribucija ostaje neizvjesna

Prijetnja odgovorna za Miasmu još nije konačno identificirana. Pripisivanje je komplicirano činjenicom da je TeamPCP, također poznat kao Replicating Marauder, TGR-CRI-1135 i UNC6780, prethodno objavio alate za napad povezane s crvom Shai-Hulud kao projekte otvorenog koda. Ovaj razvoj omogućio je drugim kibernetičkim kriminalnim skupinama da repliciraju slične tehnike, što znatno otežava definitivno pripisivanje.

Kompromitirani npm paketi

Sljedeći npm paketi su identificirani kao pogođeni:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Prikupljanje vjerodajnica putem prikrivene logike instalacije

Sigurnosni istraživači otkrili su da zlonamjerni paketi sadrže obfusirani preinstalacijski hook dizajniran za automatsko izvršavanje tijekom instalacije paketa. Zlonamjerni softver cilja širok raspon osjetljive imovine, uključujući tajne GitHub Actions, npm tokene za autentifikaciju, vjerodajnice za oblak, tajne Kubernetes i HashiCorp Vault, SSH ključeve, Git vjerodajnice i druge povjerljive datoteke pohranjene na kompromitiranim sustavima.

Kao što je uočeno u ranijim Mini Shai-Hulud kampanjama, zlonamjerni softver uključuje šifrirane rutine za krađu podataka. Ukradene informacije prenose se na api.anthropic.com:443/v1/api, dok GitHub služi kao alternativni kanal za krađu podataka. Ova strategija dvostruke namjene pokazuje nastojanje ne samo da se ukradu vjerodajnice, već i da se one iskoriste za daljnje kompromitiranje lanca opskrbe softverom.

Šifrirani paketi podataka se potvrđuju putem GitHub API-ja, a poruke potvrđivanja mogu sadržavati niz:

'Ako poništite ovaj token, uništit će računalo vlasnika:'

Tehnike prikrivanja i mehanizmi širenja

Zlonamjerni softver uključuje nekoliko mjera namijenjenih maksimiziranju trajnosti, izbjegavanju otkrivanja i proširenju pristupa. Jedna značajna karakteristika je namjerno izbjegavanje izvršavanja na ruskim sustavima, ponašanje koje je prethodno uočeno u kampanjama opskrbnog lanca GlassWorm.

U npm okruženjima, zlonamjerni kod komunicira s OIDC razmjenom tokena i whoami krajnjim točkama, prepakira softverske arhive u ažurirane tarballove i potpisuje modificirane artefakte pomoću Sigstorea. Ukradeni vjerodajnice se zatim eksfiltriraju u javne GitHub repozitorije kojima upravljaju napadači, a koji nose opis 'Miasma: The Spreading Blight'.

Istražitelji su identificirali najraniji poznati commit koji sadrži ovaj opis 29. svibnja 2026., što sugerira ili početak aktivnih operacija ili početnu fazu testiranja oko tog datuma.

Unutar GitHub okruženja, zlonamjerni softver nabraja repozitorije dostupne kompromitiranim tokenima, analizira definicije tijeka rada putem GraphQL upita i ubrizgava zlonamjerne tijekove rada pomoću mutacije createCommitOnBranch. Ovaj pristup omogućuje da se zlonamjerne promjene pojavljuju kao provjereni i kriptografski potpisani commitovi.

Napredne značajke perzistencije i eskalacije privilegija

Analiza je otkrila nekoliko dodatnih mogućnosti ugrađenih u zlonamjerni softver:

Pokušava eskalirati privilegije pokretanjem kontejnera koji se vežu za direktorij /etc/sudoers.d hosta i daju CI runerima pristup bez lozinke na sudo.

Detekcija rješenja za sigurnost krajnjih točaka, uključujući CrowdStrike, SentinelOne, Carbon Black i StepSecurity Harden-Runner, prije pokretanja zlonamjerne aktivnosti.

Mehanizmi perzistencije koji ubrizgavaju SessionStart hook u Anthropic Claude Code i stvaraju zlonamjerne datoteke tasks.json konfigurirane s 'runOn': 'folderOpen' za projekte Microsoft Visual Studio Codea, osiguravajući izvršavanje tijekom budućih razvojnih sesija.

Povećana pozornost na kompromitiranje identiteta u oblaku

Glavna evolucija u varijanti Miasma je njezin prošireni fokus na prikupljanje identiteta u oblaku. Novi moduli usmjereni na okruženja Google Cloud Platform (GCP) i Microsoft Azure prikupljaju informacije o svim identitetima u oblaku dostupnima sa zaraženog računala.

Prethodne varijante prvenstveno su se koncentrirale na izdvajanje tajni iz okruženja u oblaku. Dodavanje kolekcionara usmjerenih na identitet ukazuje na strateški pomak prema dobivanju izravnog pristupa oblaku i iskorištavanju privilegiranih identiteta unutar infrastruktura u oblaku.

Dodatno komplicirajući napore otkrivanja, svaka infekcija generira jedinstveno šifrirani teret. Ova prilagodba značajno otežava otkrivanje na temelju potpisa, praćenje zlonamjernog softvera i korelaciju verzija među incidentima.

Početno kompromitiranje i infiltracija u lanac opskrbe

Dostupni dokazi upućuju na to da je kampanja započela kompromitiranjem GitHub računa zaposlenika Red Hata. Istražitelji vjeruju da je račun poslužio kao početna točka zaraze, omogućujući napadačima ubrizgavanje zlonamjernog koda u zahvaćene pakete.

Kompromitirani račun navodno je zlonamjerne osirotele commitove gurnuo u dva repozitorija Red Hat Insights, zaobilazeći utvrđene postupke pregleda koda i uvodeći zlonamjerni teret u lanac opskrbe softverom.

Smjernice za odgovor na incidente i sanaciju

Organizacije koje su instalirale pogođene verzije paketa trebale bi odmah izolirati pogođene sustave, ukloniti zlonamjerne pakete, rotirati sve potencijalno izložene vjerodajnice, istražiti aktivnosti GitHuba i npm-a u potrazi za znakovima neovlaštenog pristupa te pregledati okruženja za mehanizme trajnosti. Posebnu pozornost treba posvetiti neovlaštenim modifikacijama koje uključuju:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml i .github/setup.js.

Stroge kontrole pristupa trebale bi se provoditi i u razvojnim i cloud okruženjima.

Budući da zlonamjerni softver uspostavlja mogućnosti izvršavanja u pozadini i perzistenciju unutar alata za razvojne programere, jednostavno deinstaliranje pogođenih npm paketa ili brisanje direktorija node_modules ne bi se trebalo smatrati dovoljnom sanacijom.

Za CI/CD okruženja, pogođena izvršavanja tijeka rada treba odmah obustaviti. Organizacije bi trebale poništiti artefakte izgradnje stvorene tijekom razdoblja izloženosti i temeljito pregledati jesu li izdanja, slike spremnika, npm paketi, artefakti implementacije ili druge softverske komponente generirane nakon što je zlonamjerni paket uveden u okruženje.