Tấn công chuỗi cung ứng Miasma

Một chiến dịch tấn công chuỗi cung ứng phần mềm mới được phát hiện, có tên gọi Miasma, đã làm tổn hại đến nhiều gói npm của @redhat-cloud-services. Chiến dịch này được thiết kế để thu thập thông tin đăng nhập và thông tin nhạy cảm từ môi trường phát triển, đồng thời triển khai một loại sâu tự lan truyền có khả năng lây lan rộng hơn trong hệ sinh thái phát triển phần mềm.

Chiến dịch này mô phỏng rất sát các chiến thuật từng được sử dụng trong Mini Shai-Hulud , tận dụng việc thực thi trong quá trình cài đặt, đánh cắp thông tin đăng nhập, xâm phạm hệ thống CI/CD, đánh cắp dữ liệu được mã hóa và các cơ chế cho phép lây lan xuống các hệ thống khác.

Việc xác định nguồn gốc vẫn chưa chắc chắn.

Tác nhân gây ra mối đe dọa từ Miasma vẫn chưa được xác định một cách chắc chắn. Việc xác định thủ phạm trở nên phức tạp hơn do TeamPCP, còn được biết đến với tên gọi Replicating Marauder, TGR-CRI-1135 và UNC6780, trước đây đã phát hành các công cụ tấn công liên quan đến sâu máy tính Shai-Hulud dưới dạng các dự án mã nguồn mở. Điều này đã cho phép các nhóm tội phạm mạng khác sao chép các kỹ thuật tương tự, khiến việc xác định thủ phạm trở nên khó khăn hơn đáng kể.

Các gói npm bị xâm phạm

Các gói npm sau đây đã được xác định là bị ảnh hưởng:

@redhat-cloud-services/vulnerabilities-client

@redhat-cloud-services/tsc-transform-imports

@redhat-cloud-services/topological-inventory-client

@redhat-cloud-services/sources-client

@redhat-cloud-services/rule-components

@redhat-cloud-services/remediations-client

@redhat-cloud-services/rbac-client

Thu thập thông tin đăng nhập thông qua logic cài đặt bị che giấu

Các nhà nghiên cứu bảo mật đã phát hiện ra rằng các gói phần mềm độc hại chứa một đoạn mã preinstall hook được mã hóa, được thiết kế để tự động thực thi trong quá trình cài đặt gói. Phần mềm độc hại này nhắm mục tiêu vào nhiều loại tài sản nhạy cảm, bao gồm các bí mật GitHub Actions, mã thông báo xác thực npm, thông tin đăng nhập đám mây, bí mật Kubernetes và HashiCorp Vault, khóa SSH, thông tin đăng nhập Git và các tệp bí mật khác được lưu trữ trên các hệ thống bị xâm nhập.

Như đã thấy trong các chiến dịch Mini Shai-Hulud trước đây, phần mềm độc hại này tích hợp các quy trình trích xuất thông tin được mã hóa. Thông tin bị đánh cắp được truyền đến api.anthropic.com:443/v1/api, trong khi GitHub đóng vai trò là kênh trích xuất thông tin thay thế. Chiến lược hai mục đích này cho thấy nỗ lực không chỉ nhằm đánh cắp thông tin đăng nhập mà còn nhằm sử dụng chúng như một vũ khí để xâm phạm chuỗi cung ứng phần mềm hơn nữa.

Các gói dữ liệu được mã hóa được gửi đi thông qua API của GitHub, và thông báo gửi đi có thể chứa chuỗi:

'Nếu bạn vô hiệu hóa mã thông báo này, nó sẽ phá hủy máy tính của chủ sở hữu:'

Các kỹ thuật tàng hình và cơ chế lan truyền

Phần mềm độc hại này bao gồm một số biện pháp nhằm tối đa hóa khả năng tồn tại, né tránh phát hiện và mở rộng phạm vi truy cập. Một đặc điểm đáng chú ý là việc cố tình tránh thực thi trên các hệ thống sử dụng tiếng Nga, một hành vi đã từng được quan sát thấy trong các chiến dịch chuỗi cung ứng GlassWorm.

Đối với môi trường npm, mã độc tương tác với các điểm cuối trao đổi mã thông báo OIDC và whoami, đóng gói lại các kho lưu trữ phần mềm thành các tệp tarball được cập nhật và ký các tệp đã sửa đổi bằng Sigstore. Thông tin đăng nhập bị đánh cắp sau đó được chuyển đến các kho lưu trữ GitHub công khai do kẻ tấn công kiểm soát với mô tả 'Miasma: The Spreading Blight'.

Các nhà điều tra đã xác định được bản cập nhật sớm nhất được biết đến có chứa mô tả này vào ngày 29 tháng 5 năm 2026, cho thấy đó có thể là thời điểm bắt đầu hoạt động hoặc giai đoạn thử nghiệm ban đầu vào khoảng thời gian đó.

Trong môi trường GitHub, phần mềm độc hại liệt kê các kho lưu trữ có thể truy cập được bằng các token bị xâm phạm, phân tích các định nghĩa quy trình làm việc thông qua các truy vấn GraphQL và chèn các quy trình làm việc độc hại bằng cách sử dụng thao tác createCommitOnBranch. Cách tiếp cận này cho phép các thay đổi độc hại xuất hiện dưới dạng các cam kết đã được xác minh và ký mã hóa.

Các tính năng nâng cao về duy trì quyền truy cập và leo thang đặc quyền

Phân tích đã tiết lộ một số khả năng bổ sung được tích hợp trong phần mềm độc hại:

Nỗ lực leo thang đặc quyền bằng cách khởi chạy các container gắn kết thư mục /etc/sudoers.d của máy chủ và cấp quyền truy cập sudo không cần mật khẩu cho các máy chạy CI.

Phát hiện các giải pháp bảo mật điểm cuối bao gồm CrowdStrike, SentinelOne, Carbon Black và StepSecurity Harden-Runner trước khi bắt đầu hoạt động độc hại.

Các cơ chế duy trì hoạt động chèn một hook SessionStart vào Anthropic Claude Code và tạo ra các tệp tasks.json độc hại được cấu hình với 'runOn': 'folderOpen' cho các dự án Microsoft Visual Studio Code, đảm bảo việc thực thi trong các phiên phát triển sau này.

Tăng cường tập trung vào vấn đề xâm phạm danh tính trên đám mây

Một bước phát triển quan trọng trong biến thể Miasma là việc mở rộng trọng tâm vào việc thu thập thông tin nhận dạng đám mây. Các mô-đun mới nhắm mục tiêu vào môi trường Google Cloud Platform (GCP) và Microsoft Azure thu thập thông tin về tất cả các thông tin nhận dạng đám mây có thể truy cập được từ máy tính bị nhiễm.

Các phiên bản trước đây chủ yếu tập trung vào việc trích xuất thông tin bí mật từ môi trường đám mây. Việc bổ sung các công cụ thu thập thông tin tập trung vào định danh cho thấy một sự chuyển dịch chiến lược hướng tới việc giành quyền truy cập trực tiếp vào đám mây và khai thác các định danh có đặc quyền trong cơ sở hạ tầng đám mây.

Điều này càng làm phức tạp thêm nỗ lực phát hiện, vì mỗi lần lây nhiễm tạo ra một tải trọng được mã hóa riêng biệt. Việc tùy chỉnh này cản trở đáng kể việc phát hiện dựa trên chữ ký, theo dõi phần mềm độc hại và đối chiếu phiên bản giữa các sự cố.

Sự thỏa hiệp ban đầu và sự xâm nhập chuỗi cung ứng

Các bằng chứng hiện có cho thấy chiến dịch này bắt nguồn từ việc xâm nhập tài khoản GitHub của một nhân viên Red Hat. Các nhà điều tra tin rằng tài khoản này đóng vai trò là điểm lây nhiễm ban đầu, cho phép kẻ tấn công chèn mã độc vào các gói phần mềm bị ảnh hưởng.

Theo báo cáo, tài khoản bị xâm nhập đã đẩy các commit độc hại vào hai kho lưu trữ Red Hat Insights, bỏ qua các quy trình xem xét mã đã được thiết lập và đưa phần mềm độc hại vào chuỗi cung ứng phần mềm.

Hướng dẫn ứng phó và khắc phục sự cố

Các tổ chức đã cài đặt các phiên bản gói phần mềm bị ảnh hưởng cần ngay lập tức cách ly các hệ thống bị ảnh hưởng, gỡ bỏ các gói phần mềm độc hại, thay đổi tất cả thông tin đăng nhập có khả năng bị lộ, điều tra hoạt động của GitHub và npm để tìm dấu hiệu truy cập trái phép và xem xét các môi trường để tìm cơ chế duy trì hoạt động. Cần đặc biệt chú ý đến các sửa đổi trái phép liên quan đến:

~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml, và .github/setup.js.

Cần phải áp dụng các biện pháp kiểm soát truy cập chặt chẽ trên cả môi trường phát triển và môi trường đám mây.

Vì phần mềm độc hại thiết lập khả năng thực thi ngầm và duy trì hoạt động trong các công cụ dành cho nhà phát triển, việc chỉ gỡ cài đặt các gói npm bị ảnh hưởng hoặc xóa thư mục node_modules không được coi là biện pháp khắc phục đủ hiệu quả.

Đối với môi trường CI/CD, các quy trình làm việc bị ảnh hưởng cần được tạm dừng ngay lập tức. Các tổ chức nên vô hiệu hóa các sản phẩm xây dựng được tạo ra trong thời gian bị ảnh hưởng và xem xét kỹ lưỡng xem các bản phát hành, ảnh container, gói npm, sản phẩm triển khai hoặc các thành phần phần mềm khác có được tạo ra sau khi gói độc hại được đưa vào môi trường hay không.