Miasma ellátási lánc támadás

Egy újonnan felfedezett szoftverellátási lánc támadási kampány, a Miasma, több @redhat-cloud-services npm csomagot is feltört. A művelet célja, hogy hitelesítő adatokat és érzékeny információkat gyűjtsön fejlesztői környezetekből, miközben egy önmagát terjedő férget telepít, amely képes tovább terjedni a szoftverfejlesztési ökoszisztémákban.

A kampány szorosan tükrözi a korábban a Mini Shai-Huludhoz kapcsolódó taktikákat, kihasználva a telepítési idejű végrehajtást, a hitelesítő adatok ellopását, a CI/CD kompromittálását, a titkosított adatok ellopását és a továbbterjesztést lehetővé tevő mechanizmusokat.

A hozzárendelés továbbra is bizonytalan

A Miasma támadásért felelős kiberfenyegetőt még nem sikerült véglegesen azonosítani. A beszámítást bonyolítja, hogy a TeamPCP, más néven Replicating Marauder, TGR-CRI-1135 és UNC6780, korábban nyílt forráskódú projektként adta ki a Shai-Hulud féreghez kapcsolódó támadási eszközöket. Ez a fejlemény lehetővé tette más kiberbűnözői csoportok számára, hogy hasonló technikákat alkalmazzanak, ami jelentősen megnehezíti a végleges beszámítást.

Feltört npm csomagok

A következő npm csomagokat azonosították érintettként:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Hitelesítő adatok gyűjtögetése obfuskált telepítési logikán keresztül

Biztonsági kutatók felfedezték, hogy a rosszindulatú csomagok egy obfuszkált előtelepítési hookot tartalmaznak, amely automatikusan fut a csomag telepítése során. A rosszindulatú program számos érzékeny eszközt céloz meg, beleértve a GitHub Actions titkokat, az npm hitelesítési tokeneket, a felhőalapú hitelesítő adatokat, a Kubernetes és a HashiCorp Vault titkokat, az SSH-kulcsokat, a Git hitelesítő adatokat és más, feltört rendszereken tárolt bizalmas fájlokat.

Amint azt a korábbi Mini Shai-Hulud kampányokban megfigyelték, a rosszindulatú program titkosított kiszűrési rutinokat tartalmaz. Az ellopott információk az api.anthropic.com:443/v1/api címre kerülnek, míg a GitHub alternatív kiszűrési csatornaként szolgál. Ez a kettős célú stratégia nemcsak a hitelesítő adatok ellopására, hanem azok további szoftverellátási lánc feltörésére szolgáló fegyverként való felhasználására is törekszik.

A titkosított adatcsomagok a GitHub API-n keresztül kerülnek véglegesítésre, és a véglegesítési üzenetek tartalmazhatják a következő karakterláncot:

'Ha Ön érvényteleníti ezt a tokent, akkor atomtüzet okoz a tulajdonos számítógépének:'

Lopakodó technikák és terjedési mechanizmusok

A kártevő számos olyan intézkedést tartalmaz, amelyek célja a vírus tartósságának maximalizálása, az észlelés elkerülése és a hozzáférés bővítése. Az egyik figyelemre méltó jellemző az orosz nyelvű rendszereken történő végrehajtás szándékos elkerülése, ezt a viselkedést korábban a GlassWorm ellátási lánc kampányaiban is megfigyelték.

NPM környezetek esetén a rosszindulatú kód interakcióba lép az OIDC tokencsere és a whoami végpontokkal, szoftverarchívumokat csomagol át frissített tarball fájlokba, és módosított összetevőket ír alá a Sigstore segítségével. Az ellopott hitelesítő adatok ezután a támadó által ellenőrzött nyilvános GitHub-tárházakba kerülnek, a „Miasma: The Spreading Blight” leírással.

A nyomozók a leírást tartalmazó legkorábbi ismert commitot 2026. május 29-én azonosították, ami vagy az aktív működés kezdetére, vagy egy kezdeti tesztelési fázisra utal ekkor.

GitHub környezetekben a kártevő felsorolja a feltört tokenek számára elérhető adattárakat, GraphQL lekérdezéseken keresztül elemzi a munkafolyamat-definíciókat, és a createCommitOnBranch mutáció használatával rosszindulatú munkafolyamatokat injektál. Ez a megközelítés lehetővé teszi, hogy a rosszindulatú módosítások ellenőrzött és kriptográfiailag aláírt commitként jelenjenek meg.

Speciális megőrző és jogosultság-eszkalációs funkciók

Az elemzés számos további, a rosszindulatú programba ágyazott képességet tárt fel:

Megpróbálja kiterjeszteni a jogosultságokat olyan konténerek elindításával, amelyek bind-mount módon csatlakoztatják a gazdagép /etc/sudoers.d könyvtárát, és jelszó nélküli sudo hozzáférést biztosítanak a CI futtatóknak.

Végpontbiztonsági megoldások, többek között a CrowdStrike, a SentinelOne, a Carbon Black és a StepSecurity Harden-Runner észlelése a rosszindulatú tevékenység megkezdése előtt.

Olyan perzisztencia mechanizmusok, amelyek egy SessionStart hook-ot injektálnak az Anthropic Claude kódba, és rosszindulatú tasks.json fájlokat hoznak létre a Microsoft Visual Studio Code projektekhez, amelyek 'runOn': 'folderOpen' paraméterrel vannak konfigurálva, biztosítva a végrehajtást a jövőbeli fejlesztési munkamenetek során.

Fokozott figyelem a felhőalapú identitás kompromittálására

A Miasma variáns egyik jelentős fejlődése a felhőalapú identitásgyűjtésre való kibővített fókusz. Az új, Google Cloud Platform (GCP) és Microsoft Azure környezeteket célzó modulok információkat gyűjtenek a fertőzött gépről elérhető összes felhőalapú identitásról.

A korábbi változatok elsősorban a felhőalapú környezetekből származó titkos információk kinyerésére koncentráltak. Az identitásra összpontosító gyűjtők hozzáadása stratégiai elmozdulást jelez a közvetlen felhőhozzáférés megszerzése és a felhőinfrastruktúrákon belüli privilegizált identitások kiaknázása felé.

A felderítési erőfeszítéseket tovább bonyolítja, hogy minden fertőzés egyedileg titkosított adatcsomagot generál. Ez a testreszabás jelentősen akadályozza az aláírás-alapú észlelést, a kártevők nyomon követését és a verziók korrelációját az incidensek között.

Kezdeti kompromittálódás és az ellátási láncba való beszivárgás

A rendelkezésre álló bizonyítékok arra utalnak, hogy a kampány egy Red Hat alkalmazott GitHub fiókjának feltöréséből ered. A nyomozók úgy vélik, hogy a fiók szolgált a fertőzés kezdeti pontjaként, lehetővé téve a támadók számára, hogy rosszindulatú kódot juttassanak az érintett csomagokba.

A feltört fiók állítólag rosszindulatú árva commitokat küldött két Red Hat Insights adattárba, megkerülve a bevett kódfelülvizsgálati eljárásokat, és bejuttatva a rosszindulatú hasznos adatot a szoftverellátási láncba.

Incidensre adott válasz és elhárítási útmutató

Az érintett csomagverziókat telepítő szervezeteknek azonnal el kell különíteniük az érintett rendszereket, el kell távolítaniuk a rosszindulatú csomagokat, le kell cserélniük az összes potenciálisan veszélyeztetett hitelesítő adatot, meg kell vizsgálniuk a GitHub és az npm tevékenységét jogosulatlan hozzáférés jelei után kutatva, és felül kell vizsgálniuk a környezeteket a megmaradási mechanizmusok szempontjából. Különös figyelmet kell fordítani a következőket érintő jogosulatlan módosításokra:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml és .github/setup.js.

Szigorú hozzáférés-vezérlést kell alkalmazni a fejlesztési és a felhőalapú környezetekben is.

Mivel a kártevő háttérben futó képességeket és tartós működést biztosít a fejlesztői eszközökben, az érintett npm csomagok egyszerű eltávolítása vagy a node_modules könyvtár törlése nem tekinthető elegendő megoldásnak.

CI/CD környezetek esetén az érintett munkafolyamatok végrehajtását azonnal fel kell függeszteni. A szervezeteknek érvényteleníteniük kell az expozíciós időszak alatt létrehozott build-összetevőket, és alaposan ellenőrizniük kell, hogy a rosszindulatú csomag környezetbe való bevezetése után keletkeztek-e kiadások, konténerképek, npm-csomagok, telepítési összetevők vagy más szoftverösszetevők.