Paket npm Red Hat disusupi untuk mencuri kredensial pengembang

Lebih dari 30 paket npm di bawah namespace ‘@redhat-cloud-services’ Red Hat telah disusupi dalam serangan rantai pasokan yang mendistribusikan varian baru malware pencuri kredensial Shai-Hulud, yang dijuluki “Miasma.”

Insiden ini diketahui oleh perusahaan keamanan Aikido Dan Keamanan Sapiyang menemukan lusinan versi paket yang dilengkapi dengan malware yang dirancang untuk mencuri kredensial pengembang, rahasia cloud, kunci SSH, token CI/CD, dan informasi sensitif lainnya.

Menurut Aikido, paket yang disusupi menerima sekitar 117.000 unduhan setiap minggu.

Dalam sebuah pernyataan yang dibagikan kepada BleepingComputer, Red Hat mengatakan pihaknya menghapus paket yang terkena dampak setelah menyadari insiden tersebut dan bahwa kompromi tersebut terbatas pada alat pengembangan internal.

“Red Hat mengetahui laporan keamanan mengenai paket npm tertentu dalam ekosistem alat pengembangan kami. Kami segera memulai penyelidikan dan menghapus paket tersebut dari registri npm,” kata Red Hat kepada BleepingComputer.

“Paket tersebut sangat terbatas pada pengembangan internal, dan kode berbahaya tidak pernah dipublikasikan untuk konsumsi pelanggan melalui sistem console.redhat.com. Sementara penyelidikan kami sedang berlangsung, kami belum mengidentifikasi dampak apa pun terhadap lingkungan pelanggan atau mitra atau sistem produksi Red Hat.”

Perusahaan mengatakan mereka terus menyelidiki insiden tersebut, tetapi tidak menjawab pertanyaan kami tentang bagaimana akun tersebut disusupi.

Paket Red Hat di-backdoor melalui kompromi GitHub

Menurut Aikido, para penyerang diduga menyusupi akun GitHub karyawan Red Hat dan menggunakannya untuk mendorong komitmen jahat langsung ke beberapa repositori.

Komitmen tersebut menambahkan alur kerja GitHub Actions dan skrip yang menyalahgunakan mekanisme penerbitan npm untuk merilis paket backdoor.

“Saat alur kerja berjalan, ia menginstal Bun dan mengeksekusi _index.jsmeneruskannya daftar paket target melalui variabel lingkungan OIDC_PACKAGES,” jelas Aikido.

“Skrip ini menggunakan id-token: izin menulis untuk meminta token OIDC yang berumur pendek dari GitHub, kemudian menggunakan token tersebut untuk mengautentikasi secara langsung dengan titik akhir penerbitan tepercaya npm dan menerbitkan versi pintu belakang dari setiap paket dalam daftar.”

Paket-paket yang disusupi ini berisi skrip pra-instal berbahaya yang secara otomatis mengeksekusi file index.js berbahaya yang sangat dikaburkan ketika pengembang menginstal paket-paket tersebut.

  "scripts": {    "preinstall": "node index.js"  }

Menurut Aikido, muatan ‘index.js’ berukuran sekitar 4,2 MB, dan digunakan untuk mencuri rahasia GitHub Actions, kredensial AWS, kredensial Google Cloud, kredensial perwakilan layanan Azure, token HashiCorp Vault, token akun layanan Kubernetes, token penerbitan npm dan PyPI, kunci SSH, kredensial Docker, kunci GPG, dan file `.env`.

Aikido mengatakan 32 paket dan 96 versi paket terpengaruh oleh peretasan tersebut, termasuk banyak perpustakaan klien yang dikelola di bawah namespace `@redhat-cloud-services`.

Organisasi yang menginstal versi apa pun yang terpengaruh disarankan untuk segera merotasi semua kredensial, rahasia, dan token yang digunakan oleh kode pada perangkat yang terinfeksi.

Miasma tampaknya merupakan varian baru Shai-Hulud

Selama beberapa bulan terakhir, ada banyak serangan rantai pasokan yang memanfaatkan malware Shai-Hulud untuk mencuri kredensial dan menyebar ke proyek lain.

Serangan-serangan ini berdampak pada proyek-proyek terkenal, termasuk Bitwarden, GETAH, Mistral, TanStack, OpenAIDan GitHub.

Pada bulan Mei, kelompok ancaman TeamPCP secara terbuka merilis kode sumber untuk kerangka malware Mini Shai-Hulud, sehingga malware tersebut dapat diakses oleh pelaku ancaman lainnya.

Para peneliti mengatakan malware yang digunakan dalam kompromi Red Hat memiliki banyak kesamaan dengan Mini Shai-Hulud, tetapi sekarang menggunakan string “Miasma: The Spreading Blight” sebagai komentar di repositori GitHub yang dikompromikan.

Meskipun malware tersebut mirip dengan Mini Shai-Hulud milik TeamPCP, tidak jelas apakah kampanye tersebut dilakukan oleh pelaku ancaman tersebut atau oleh pelaku ancaman lain yang memodifikasi kode sumber malware yang bocor.

OX Security mengatakan malware tersebut mempertahankan fungsi pencurian kredensial yang sama seperti Mini Shai-Hulud tetapi menambahkan lapisan kebingungan tambahan, mekanisme pengiriman muatan multi-tahap, dan peningkatan fitur pencurian data dan pengumpulan kredensial.

Pada saat penulisan ini, 309 repositori GitHub telah disusupi oleh kampanye malware Miasma.