Атака на цепочку поставок миазмы

Недавно обнаруженная кампания атак на цепочку поставок программного обеспечения, получившая название Miasma, скомпрометировала несколько npm-пакетов @redhat-cloud-services. Операция направлена на сбор учетных данных и конфиденциальной информации из среды разработки, а также на развертывание самораспространяющегося червя, способного распространяться по экосистемам разработки программного обеспечения.

Данная кампания во многом повторяет тактику, ранее связанную с Mini Shai-Hulud , используя выполнение действий во время установки, кражу учетных данных, компрометацию CI/CD, утечку зашифрованных данных и механизмы, обеспечивающие распространение вредоносного ПО в дальнейшем.

Атрибуция остается неопределенной.

Личность злоумышленника, ответственного за Miasma, до сих пор окончательно не установлена. Установление авторства осложняется тем, что TeamPCP, также известная как Replicating Marauder, TGR-CRI-1135 и UNC6780, ранее выпустила инструменты атаки, связанные с червем Shai-Hulud, в качестве проектов с открытым исходным кодом. Это позволило другим киберпреступным группам воспроизвести аналогичные методы, что значительно затрудняет окончательное установление авторства.

Взломанные npm-пакеты

Были выявлены следующие затронутые пакеты npm:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Извлечение учетных данных посредством обфусцированной логики установки.

Исследователи в области безопасности обнаружили, что вредоносные пакеты содержат обфусцированный преинсталляционный хук, предназначенный для автоматического выполнения во время установки пакета. Вредоносное ПО нацелено на широкий спектр конфиденциальных ресурсов, включая секреты GitHub Actions, токены аутентификации npm, учетные данные облачных сервисов, секреты Kubernetes и HashiCorp Vault, ключи SSH, учетные данные Git и другие конфиденциальные файлы, хранящиеся в скомпрометированных системах.

Как было замечено в предыдущих кампаниях Mini Shai-Hulud, вредоносная программа использует зашифрованные процедуры эксфильтрации. Украденная информация передается на api.anthropic.com:443/v1/api, а GitHub служит альтернативным каналом эксфильтрации. Эта стратегия двойного назначения демонстрирует попытку не только украсть учетные данные, но и использовать их для дальнейшего компрометирования цепочки поставок программного обеспечения.

Зашифрованные пакеты данных добавляются в репозиторий через API GitHub, и сообщения коммитов могут содержать следующую строку:

«Если вы аннулируете этот токен, это уничтожит компьютер владельца»

Методы скрытного распространения и механизмы распространения

Вредоносная программа включает в себя ряд мер, направленных на максимальное закрепление в системе, избегание обнаружения и расширение доступа. Одной из примечательных особенностей является преднамеренное избегание запуска на русскоязычных системах, поведение, ранее наблюдавшееся в кампаниях GlassWorm по распространению вредоносного ПО.

В средах npm вредоносный код взаимодействует с конечными точками обмена токенами OIDC и whoami, перепаковывает архивы программного обеспечения в обновленные tar-архивы и подписывает измененные артефакты с помощью Sigstore. Затем украденные учетные данные передаются в контролируемые злоумышленниками общедоступные репозитории GitHub с описанием «Miasma: The Spreading Blight».

Следователи установили, что самое раннее известное сообщение, содержащее это описание, датируется 29 мая 2026 года, что позволяет предположить либо начало активных операций, либо начальный этап тестирования примерно в это время.

В среде GitHub вредоносное ПО перечисляет репозитории, доступные для скомпрометированных токенов, анализирует определения рабочих процессов с помощью запросов GraphQL и внедряет вредоносные рабочие процессы, используя мутацию createCommitOnBranch. Такой подход позволяет вредоносным изменениям выглядеть как проверенные и криптографически подписанные коммиты.

Расширенные возможности сохранения данных и повышения привилегий.

Анализ выявил ряд дополнительных возможностей, встроенных в вредоносное ПО:

Попытки повышения привилегий путем запуска контейнеров, которые монтируют каталог /etc/sudoers.d на хосте и предоставляют средствам запуска CI доступ к sudo без пароля.

Обнаружение решений для защиты конечных точек, включая CrowdStrike, SentinelOne, Carbon Black и StepSecurity Harden-Runner, до начала вредоносной деятельности.

Механизмы обеспечения постоянного доступа, внедряющие в Anthropic Claude Code обработчик SessionStart и создающие вредоносные файлы tasks.json с параметром 'runOn': 'folderOpen' для проектов Microsoft Visual Studio Code, гарантирующие их выполнение во время будущих сеансов разработки.

Усиленное внимание к компрометации облачных идентификационных данных

Одним из главных изменений в варианте Miasma стало расширение его фокуса на сборе информации об облачных идентификаторах. Новые модули, ориентированные на среды Google Cloud Platform (GCP) и Microsoft Azure, собирают информацию обо всех облачных идентификаторах, доступных с зараженной машины.

Предыдущие варианты были в основном сосредоточены на извлечении секретной информации из облачных сред. Добавление средств сбора данных, ориентированных на идентификацию, указывает на стратегический сдвиг в сторону получения прямого доступа к облаку и использования привилегированных учетных записей в облачной инфраструктуре.

Дополнительно осложняет обнаружение тот факт, что каждая инфекция генерирует уникальный зашифрованный полезный груз. Такая индивидуальная настройка значительно затрудняет обнаружение на основе сигнатур, отслеживание вредоносных программ и сопоставление версий между инцидентами.

Первоначальный компромисс и проникновение в цепочку поставок

Имеющиеся доказательства указывают на то, что кампания началась с взлома учетной записи GitHub сотрудника Red Hat. Следователи полагают, что эта учетная запись послужила первоначальной точкой заражения, позволив злоумышленникам внедрить вредоносный код в зараженные пакеты.

По имеющимся данным, взломанная учетная запись распространила вредоносные "осиротевшие" коммиты в два репозитория Red Hat Insights, обойдя установленные процедуры проверки кода и внедрив вредоносную полезную нагрузку в цепочку поставок программного обеспечения.

Руководство по реагированию на инциденты и устранению последствий

Организации, установившие затронутые версии пакетов, должны немедленно изолировать затронутые системы, удалить вредоносные пакеты, сменить все потенциально уязвимые учетные данные, проверить активность в GitHub и npm на наличие признаков несанкционированного доступа и проверить среды на наличие механизмов обеспечения постоянного доступа. Особое внимание следует уделить несанкционированным изменениям, касающимся:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml и .github/setup.js.

Также необходимо обеспечить строгий контроль доступа во всех средах разработки и облачных средах.

Поскольку вредоносная программа обеспечивает фоновое выполнение и постоянное присутствие в инструментах разработчика, простое удаление затронутых пакетов npm или каталога node_modules не следует считать достаточным решением проблемы.

В средах CI/CD выполнение затронутых рабочих процессов следует немедленно приостановить. Организациям следует аннулировать артефакты сборки, созданные в период воздействия вредоносного пакета, и тщательно проверить, были ли релизы, образы контейнеров, пакеты npm, артефакты развертывания или другие программные компоненты созданы после того, как вредоносный пакет был внедрен в среду.