Útok na dodávateľský reťazec v Miasme

Novo objavená útočná kampaň na dodávateľský reťazec softvéru s názvom Miasma ohrozila viacero npm balíkov @redhat-cloud-services. Operácia je navrhnutá tak, aby zhromažďovala prihlasovacie údaje a citlivé informácie z vývojárskych prostredí a zároveň nasadzovala samovoľne sa šíriaceho červa schopného ďalej sa šíriť v ekosystémoch vývoja softvéru.

Kampaň sa dôsledne podobá taktikám, ktoré boli predtým spojené s kampaňou Mini Shai-Hulud , pričom využíva vykonávanie údajov počas inštalácie, krádež prihlasovacích údajov, kompromitáciu CI/CD, exfiltráciu šifrovaných údajov a mechanizmy, ktoré umožňujú ich následné šírenie.

Pripisovanie zostáva neisté

Hroziaci aktér zodpovedný za červ Miasma ešte nebol definitívne identifikovaný. Priradenie červa komplikuje skutočnosť, že TeamPCP, známy aj ako Replicating Marauder, TGR-CRI-1135 a UNC6780, predtým vydal útočné nástroje spojené s červom Shai-Hulud ako projekty s otvoreným zdrojovým kódom. Tento vývoj umožnil iným kyberzločineckým skupinám replikovať podobné techniky, čo výrazne sťažuje definitívne priradenie červa.

Kompromitované balíky npm

Ako postihnuté boli identifikované nasledujúce balíky npm:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/komponenty-pravidiel

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Zber poverení prostredníctvom zahalenej logiky inštalácie

Bezpečnostní výskumníci zistili, že škodlivé balíky obsahujú zahalený predinštalačný hook, ktorý sa automaticky spúšťa počas inštalácie balíka. Malvér sa zameriava na širokú škálu citlivých aktív vrátane tajných údajov GitHub Actions, autentifikačných tokenov npm, cloudových prihlasovacích údajov, tajných údajov Kubernetes a HashiCorp Vault, kľúčov SSH, prihlasovacích údajov Git a ďalších dôverných súborov uložených v napadnutých systémoch.

Ako bolo pozorované v predchádzajúcich kampaniach Mini Shai-Hulud, malvér obsahuje šifrované postupy na odcudzenie informácií. Ukradnuté informácie sa prenášajú na api.anthropic.com:443/v1/api, zatiaľ čo GitHub slúži ako alternatívny kanál na odcudzenie informácií. Táto stratégia s dvojitým účelom demonštruje snahu nielen ukradnúť prihlasovacie údaje, ale aj ich zneužiť na ďalšie zneužitie v dodávateľskom reťazci softvéru.

Šifrované dátové balíky sa potvrdzujú prostredníctvom rozhrania API GitHub a správy potvrdenia môžu obsahovať reťazec:

„Ak zneplatníte tento token, zničí sa počítač vlastníka:“

Tajné techniky a mechanizmy šírenia

Malvér obsahuje niekoľko opatrení určených na maximalizáciu perzistencie, vyhýbanie sa detekcii a rozšírenie prístupu. Jednou z pozoruhodných charakteristík je zámerné vyhýbanie sa spusteniu na rusky hovoriacich systémoch, čo je správanie, ktoré bolo predtým pozorované v kampaniach dodávateľského reťazca GlassWorm.

V prostrediach npm škodlivý kód interaguje s výmenou tokenov OIDC a koncovými bodmi whoami, prebaľuje softvérové archívy do aktualizovaných tarballov a podpisuje upravené artefakty pomocou Sigstore. Ukradnuté prihlasovacie údaje sú potom odfiltrované do verejných repozitárov GitHub kontrolovaných útočníkom, ktoré majú popis „Miasma: Šíriaca sa pliaga“.

Vyšetrovatelia identifikovali najstarší známy zápis obsahujúci tento popis 29. mája 2026, čo naznačuje buď začiatok aktívnych operácií, alebo počiatočnú testovaciu fázu okolo tohto dátumu.

V prostrediach GitHub malvér vymenúva repozitáre prístupné pre kompromitované tokeny, analyzuje definície pracovných postupov prostredníctvom dotazov GraphQL a vkladá škodlivé pracovné postupy pomocou mutácie createCommitOnBranch. Tento prístup umožňuje, aby sa škodlivé zmeny zobrazovali ako overené a kryptograficky podpísané commity.

Pokročilé funkcie perzistencie a eskalácie privilégií

Analýza odhalila niekoľko ďalších funkcií zabudovaných do škodlivého softvéru:

Pokúša sa o eskaláciu privilégií spustením kontajnerov, ktoré sa pripájajú k adresáru /etc/sudoers.d hostiteľa a udeľujú bežcom CI prístup bez hesla k príkazu sudo.

Detekcia riešení zabezpečenia koncových bodov vrátane CrowdStrike, SentinelOne, Carbon Black a StepSecurity Harden-Runner pred začatím škodlivej aktivity.

Mechanizmy perzistencie, ktoré vkladajú hook SessionStart do Anthropic Claude Code a vytvárajú škodlivé súbory tasks.json nakonfigurované s parametrom „runOn“: „folderOpen“ pre projekty Microsoft Visual Studio Code, čím zabezpečujú vykonávanie počas budúcich vývojových relácií.

Zvýšený dôraz na kompromitáciu cloudovej identity

Hlavným vývojom variantu Miasma je jeho rozšírené zameranie na zhromažďovanie cloudových identít. Nové moduly zamerané na prostredia Google Cloud Platform (GCP) a Microsoft Azure zhromažďujú informácie o všetkých cloudových identitách prístupných z infikovaného počítača.

Predchádzajúce varianty sa primárne zameriavali na extrakciu tajomstiev z cloudových prostredí. Pridanie zberačov zameraných na identitu naznačuje strategický posun smerom k získaniu priameho prístupu do cloudu a využívaniu privilegovaných identít v rámci cloudových infraštruktúr.

Detekčné úsilie ďalej komplikuje fakt, že každá infekcia generuje jedinečne šifrované užitočné zaťaženie. Toto prispôsobenie výrazne bráni detekcii na základe podpisov, sledovaniu malvéru a korelácii verzií medzi incidentmi.

Počiatočné narušenie a infiltrácia dodávateľského reťazca

Dostupné dôkazy naznačujú, že kampaň vznikla prostredníctvom kompromitácie účtu GitHub zamestnanca spoločnosti Red Hat. Vyšetrovatelia sa domnievajú, že účet slúžil ako počiatočný bod infekcie, ktorý útočníkom umožnil vložiť škodlivý kód do napadnutých balíkov.

Kompromitovaný účet údajne odoslal škodlivé osirotené commity do dvoch repozitárov Red Hat Insights, čím obišiel zavedené postupy kontroly kódu a zaviedol škodlivé užitočné zaťaženie do dodávateľského reťazca softvéru.

Pokyny pre reakciu na incidenty a nápravu

Organizácie, ktoré nainštalovali postihnuté verzie balíkov, by mali okamžite izolovať postihnuté systémy, odstrániť škodlivé balíky, rotovať všetky potenciálne odhalené prihlasovacie údaje, preskúmať aktivitu GitHub a npm, či neobsahuje známky neoprávneného prístupu, a skontrolovať prostredia z hľadiska mechanizmov perzistencie. Osobitná pozornosť by sa mala venovať neoprávneným úpravám zahŕňajúcim:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml a .github/setup.js.

V celom vývojovom a cloudovom prostredí by sa mali presadzovať aj prísne kontroly prístupu.

Keďže malvér vytvára možnosti spúšťania na pozadí a pretrváva v rámci vývojárskych nástrojov, samotné odinštalovanie postihnutých balíkov npm alebo odstránenie adresára node_modules by sa nemalo považovať za dostatočnú nápravu.

V prostrediach CI/CD by sa malo vykonávanie dotknutých pracovných postupov okamžite pozastaviť. Organizácie by mali zneplatniť artefakty zostavenia vytvorené počas obdobia expozície a dôkladne skontrolovať, či boli vydania, obrazy kontajnerov, balíky npm, artefakty nasadenia alebo iné softvérové komponenty vygenerované po zavedení škodlivého balíka do prostredia.