Miasma Supply Chain Attack

Een recent ontdekte aanvalscampagne op de softwareleveringsketen, genaamd Miasma, heeft meerdere npm-pakketten van @redhat-cloud-services gecompromitteerd. De operatie is ontworpen om inloggegevens en gevoelige informatie uit ontwikkelomgevingen te verzamelen en tegelijkertijd een zelfverspreidende worm te implementeren die zich verder kan verspreiden binnen softwareontwikkelingssystemen.

De campagne vertoont grote overeenkomsten met de tactieken die eerder werden geassocieerd met Mini Shai-Hulud , waarbij gebruik wordt gemaakt van uitvoering tijdens de installatie, diefstal van inloggegevens, compromittering van CI/CD-systemen, exfiltratie van versleutelde gegevens en mechanismen die verdere verspreiding mogelijk maken.

De toeschrijving blijft onzeker.

De dader achter Miasma is nog niet definitief geïdentificeerd. Toewijzing wordt bemoeilijkt door het feit dat TeamPCP, ook bekend als Replicating Marauder, TGR-CRI-1135 en UNC6780, de aanvalstools die geassocieerd worden met de Shai-Hulud-worm eerder als open-sourceprojecten heeft uitgebracht. Deze ontwikkeling heeft andere cybercriminele groepen in staat gesteld soortgelijke technieken te repliceren, waardoor definitieve toewijzing aanzienlijk lastiger is geworden.

Gecompromitteerde npm-pakketten

De volgende npm-pakketten zijn als getroffen geïdentificeerd:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Inloggegevens verzamelen via verhulde installatielogica

Beveiligingsonderzoekers hebben ontdekt dat de kwaadwillige pakketten een versleutelde pre-installatiehook bevatten die is ontworpen om automatisch te worden uitgevoerd tijdens de installatie van het pakket. De malware is gericht op een breed scala aan gevoelige gegevens, waaronder GitHub Actions-geheimen, npm-authenticatietokens, cloudreferenties, Kubernetes- en HashiCorp Vault-geheimen, SSH-sleutels, Git-referenties en andere vertrouwelijke bestanden die zijn opgeslagen op gecompromitteerde systemen.

Zoals al eerder is gebleken bij Mini Shai-Hulud-campagnes, maakt de malware gebruik van versleutelde exfiltratieprocedures. Gestolen informatie wordt verzonden naar api.anthropic.com:443/v1/api, terwijl GitHub als alternatief exfiltratiekanaal dient. Deze strategie met een dubbel doel laat zien dat er niet alleen geprobeerd wordt om inloggegevens te stelen, maar ook om deze te gebruiken voor verdere compromittering van de softwareleveringsketen.

Versleutelde datapakketten worden via de GitHub API vastgelegd en commitberichten kunnen de volgende tekenreeks bevatten:

'Als u dit token ongeldig maakt, wordt de computer van de eigenaar gewist:'

Stealthtechnieken en voortplantingsmechanismen

De malware bevat diverse maatregelen om de persistentie te maximaliseren, detectie te omzeilen en de toegang te vergroten. Een opvallend kenmerk is het opzettelijk vermijden van uitvoering op Russischtalige systemen, een gedrag dat eerder werd waargenomen bij de GlassWorm-campagnes.

In npm-omgevingen communiceert de kwaadwillende code met OIDC-tokenuitwisseling en whoami-eindpunten, verpakt softwarearchieven in bijgewerkte tarballs en ondertekent de gewijzigde artefacten met Sigstore. Gestolen inloggegevens worden vervolgens doorgesluisd naar openbare GitHub-repositories die door de aanvaller worden beheerd en de beschrijving 'Miasma: The Spreading Blight' dragen.

Onderzoekers hebben de vroegst bekende commit met deze beschrijving geïdentificeerd op 29 mei 2026, wat suggereert dat rond die datum sprake was van het begin van actieve operaties of een eerste testfase.

Binnen GitHub-omgevingen inventariseert de malware repositories die toegankelijk zijn voor gecompromitteerde tokens, analyseert workflowdefinities via GraphQL-query's en injecteert kwaadaardige workflows met behulp van de createCommitOnBranch-mutatie. Deze aanpak zorgt ervoor dat kwaadaardige wijzigingen eruitzien als geverifieerde en cryptografisch ondertekende commits.

Geavanceerde persistentie- en privilege-escalatiefuncties

Uit de analyse bleek dat de malware nog diverse extra mogelijkheden bood:

Pogingen om de bevoegdheden te verhogen door containers te starten die de map /etc/sudoers.d van de host binden en CI-runners toegang geven tot sudo zonder wachtwoord.

Detectie van endpointbeveiligingsoplossingen zoals CrowdStrike, SentinelOne, Carbon Black en StepSecurity Harden-Runner voordat kwaadaardige activiteiten worden gestart.

Persistentiemechanismen die een SessionStart-hook injecteren in Anthropic Claude Code en kwaadaardige tasks.json-bestanden aanmaken die geconfigureerd zijn met 'runOn': 'folderOpen' voor Microsoft Visual Studio Code-projecten, waardoor uitvoering tijdens toekomstige ontwikkelsessies gegarandeerd is.

Toegenomen focus op inbreuken op cloudidentiteit

Een belangrijke ontwikkeling in de Miasma-variant is de uitgebreidere focus op het verzamelen van cloudidentiteiten. Nieuwe modules, gericht op Google Cloud Platform (GCP) en Microsoft Azure-omgevingen, verzamelen informatie over alle cloudidentiteiten die toegankelijk zijn vanaf een geïnfecteerde machine.

Eerdere varianten richtten zich voornamelijk op het extraheren van geheimen uit cloudomgevingen. De toevoeging van identiteitsgerichte collectors duidt op een strategische verschuiving naar het verkrijgen van directe toegang tot de cloud en het exploiteren van bevoorrechte identiteiten binnen cloudinfrastructuren.

Wat de detectie verder bemoeilijkt, is dat elke infectie een uniek versleutelde payload genereert. Deze aanpassing belemmert aanzienlijk de op signaturen gebaseerde detectie, het traceren van malware en de correlatie van versies tussen incidenten.

Initiële inbreuk en infiltratie in de toeleveringsketen

Het beschikbare bewijsmateriaal suggereert dat de campagne is ontstaan door het hacken van het GitHub-account van een Red Hat-medewerker. Onderzoekers denken dat dit account het eerste infectiepunt was, waardoor aanvallers kwaadaardige code in de getroffen pakketten konden injecteren.

Het gecompromitteerde account zou kwaadaardige, ongebruikte commits in twee Red Hat Insights-repositories hebben geplaatst, waardoor de vastgestelde codebeoordelingsprocedures werden omzeild en de schadelijke payload in de softwareleveringsketen terechtkwam.

Richtlijnen voor incidentrespons en herstel

Organisaties die getroffen pakketversies hebben geïnstalleerd, moeten de getroffen systemen onmiddellijk isoleren, schadelijke pakketten verwijderen, alle mogelijk blootgestelde inloggegevens vernieuwen, GitHub- en npm-activiteit onderzoeken op tekenen van ongeautoriseerde toegang en omgevingen controleren op persistentiemechanismen. Bijzondere aandacht moet worden besteed aan ongeautoriseerde wijzigingen met betrekking tot:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml en .github/setup.js.

Ook in ontwikkel- en cloudomgevingen moeten strenge toegangscontrollen worden gehanteerd.

Omdat de malware zich op de achtergrond kan uitvoeren en persistent aanwezig blijft in ontwikkelaarstools, is het simpelweg verwijderen van de betreffende npm-pakketten of het wissen van de node_modules-directory geen voldoende oplossing.

In CI/CD-omgevingen moeten getroffen workflow-uitvoeringen onmiddellijk worden opgeschort. Organisaties moeten de build-artefacten die tijdens de blootstellingsperiode zijn aangemaakt ongeldig verklaren en grondig controleren of releases, containerimages, npm-pakketten, implementatie-artefacten of andere softwarecomponenten zijn gegenereerd nadat het schadelijke pakket in de omgeving is geïntroduceerd.