Atac asupra lanțului de aprovizionare miasmatic

O campanie de atac asupra lanțului de aprovizionare software recent descoperită, numită Miasma, a compromis mai multe pachete npm @redhat-cloud-services. Operațiunea este concepută pentru a colecta acreditări și informații sensibile din mediile dezvoltatorilor, implementând în același timp un vierme autopropagator capabil să se răspândească mai departe prin ecosistemele de dezvoltare software.

Campania reflectă îndeaproape tacticile asociate anterior cu Mini Shai-Hulud , utilizând execuția în timpul instalării, furtul de acreditări, compromiterea CI/CD, exfiltrarea datelor criptate și mecanisme care permit propagarea în aval.

Atribuirea rămâne incertă

Actorul amenințător responsabil pentru Miasma nu a fost încă identificat în mod concludent. Atribuirea este complicată de faptul că TeamPCP, cunoscut și sub numele de Replicating Marauder, TGR-CRI-1135 și UNC6780, a lansat anterior instrumentele de atac asociate cu viermele Shai-Hulud ca proiecte open-source. Această dezvoltare a permis altor grupuri de infractori cibernetici să reproducă tehnici similare, ceea ce face ca atribuirea definitivă să fie semnificativ mai dificilă.

Pachete npm compromise

Următoarele pachete npm au fost identificate ca fiind afectate:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/client-de-inventar-topologic

@redhat-cloud-services/sources-client

@redhat-cloud-services/regulă-componente

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Recoltarea acreditărilor prin logică de instalare ofuscată

Cercetătorii în domeniul securității au descoperit că pachetele rău intenționate conțin un hook de preinstalare ofuscat, conceput să se execute automat în timpul instalării pachetului. Malware-ul vizează o gamă largă de resurse sensibile, inclusiv secrete GitHub Actions, token-uri de autentificare npm, acreditări cloud, secrete Kubernetes și HashiCorp Vault, chei SSH, acreditări Git și alte fișiere confidențiale stocate pe sisteme compromise.

Așa cum s-a observat în campaniile anterioare Mini Shai-Hulud, malware-ul încorporează rutine de exfiltrare criptate. Informațiile furate sunt transmise către api.anthropic.com:443/v1/api, în timp ce GitHub servește ca un canal alternativ de exfiltrare. Această strategie cu dublu scop demonstrează un efort nu doar de a fura acreditările, ci și de a le transforma în armă pentru compromiterea ulterioară a lanțului de aprovizionare cu software.

Pachetele de date criptate sunt validate prin intermediul API-ului GitHub, iar mesajele de validare pot conține șirul de caractere:

„Dacă invalidați acest token, acesta va distruge computerul proprietarului:”

Tehnici Stealth și Mecanisme de Propagare

Malware-ul include mai multe măsuri menite să maximizeze persistența, să evite detectarea și să extindă accesul. O caracteristică notabilă este evitarea deliberată a execuției pe sistemele în limba rusă, un comportament observat anterior în campaniile lanțului de aprovizionare GlassWorm.

Pentru mediile npm, codul malițios interacționează cu endpoint-urile whoami și cu schimbul de token-uri OIDC, reîmpachetează arhivele software în fișiere tar actualizate și semnează artefacte modificate folosind Sigstore. Acreditările furate sunt apoi exfiltrate în depozite publice GitHub controlate de atacatori, care conțin descrierea „Miasma: The Spreading Blight”.

Anchetatorii au identificat cea mai veche înregistrare cunoscută care conține această descriere pe 29 mai 2026, sugerând fie începutul operațiunilor active, fie o fază inițială de testare în jurul acelei date.

În mediile GitHub, malware-ul enumeră repozitoriile accesibile token-urilor compromise, analizează definițiile fluxurilor de lucru prin intermediul interogărilor GraphQL și injectează fluxuri de lucru rău intenționate folosind mutația createCommitOnBranch. Această abordare permite ca modificările rău intenționate să apară ca commit-uri verificate și semnate criptografic.

Funcții avansate de persistență și escaladare a privilegiilor

Analiza a relevat câteva capabilități suplimentare încorporate în malware:

Încercări de escaladare a privilegiilor prin lansarea de containere care montează prin bind directorul /etc/sudoers.d al gazdei și acordă acces sudo fără parolă executorilor CI.

Detectarea soluțiilor de securitate endpoint, inclusiv CrowdStrike, SentinelOne, Carbon Black și StepSecurity Harden-Runner, înainte de inițierea activităților rău intenționate.

Mecanisme de persistență care injectează un hook SessionStart în Anthropic Claude Code și creează fișiere tasks.json malițioase configurate cu „runOn”: „folderOpen” pentru proiectele Microsoft Visual Studio Code, asigurând execuția în timpul sesiunilor de dezvoltare viitoare.

Concentrare sporită pe compromiterea identității în cloud

O evoluție majoră a variantei Miasma este concentrarea extinsă pe colectarea identităților în cloud. Noile module care vizează mediile Google Cloud Platform (GCP) și Microsoft Azure colectează informații despre toate identitățile în cloud accesibile de pe o mașină infectată.

Variantele anterioare se concentrau în principal pe extragerea secretelor din mediile cloud. Adăugarea colectorilor axați pe identitate indică o schimbare strategică către obținerea accesului direct la cloud și exploatarea identităților privilegiate în cadrul infrastructurilor cloud.

Complicând și mai mult eforturile de detectare, fiecare infecție generează o sarcină utilă criptată unic. Această personalizare împiedică semnificativ detectarea bazată pe semnături, urmărirea programelor malware și corelarea versiunilor între incidente.

Compromis inițial și infiltrare în lanțul de aprovizionare

Dovezile disponibile sugerează că a pornit de la compromiterea contului GitHub al unui angajat Red Hat. Anchetatorii cred că acel cont a servit drept punct inițial de infectare, permițând atacatorilor să injecteze cod rău intenționat în pachetele afectate.

Se pare că se pare că contul compromis a împins commit-uri orfane rău intenționate în două repozitorii Red Hat Insights, ocolind procedurile stabilite de revizuire a codului și introducând sarcina utilă rău intenționată în lanțul de aprovizionare cu software.

Ghid de răspuns la incidente și remediere

Organizațiile care au instalat versiunile de pachete afectate ar trebui să izoleze imediat sistemele afectate, să elimine pachetele rău intenționate, să rotească toate acreditările potențial expuse, să investigheze activitatea GitHub și npm pentru semne de acces neautorizat și să examineze mediile pentru mecanisme de persistență. O atenție deosebită ar trebui acordată modificărilor neautorizate care implică:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml și .github/setup.js.

De asemenea, ar trebui aplicate controale stricte ale accesului în mediile de dezvoltare și în cloud.

Deoarece malware-ul stabilește capacități de execuție în fundal și persistență în cadrul instrumentelor pentru dezvoltatori, simpla dezinstalare a pachetelor npm afectate sau ștergerea directorului node_modules nu ar trebui considerată o remediere suficientă.

Pentru mediile CI/CD, execuțiile fluxurilor de lucru afectate ar trebui suspendate imediat. Organizațiile ar trebui să invalideze artefactele de compilare create în perioada de expunere și să verifice cu atenție dacă versiunile, imaginile containerelor, pachetele npm, artefactele de implementare sau alte componente software au fost generate după introducerea pachetului rău intenționat în mediu.