{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Angribere har indsat malware i 32 NPM-pakker fra Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Som f\u00f8lge af kompromittering af release-processen baseret p\u00e5 GitHub Actions i Red Hat-ejede RedHatInsights-repositorierne form\u00e5ede angriberne at offentligg\u00f8re 64 ondsindede versioner i NPM-kataloget, der d\u00e6kkede 32 NPM-pakker til Red Hat Cloud Services-platformen. For hver af de ber\u00f8rte NPM-pakker blev der udgivet to ondsindede versioner, hvor der blev integreret kode til at aktivere en ny variant af ormen mini-shai-hulud, der udf\u00f8rer s\u00f8gninger efter tokens og legitimationsoplysninger i det nuv\u00e6rende milj\u00f8. <\/p>\n
Ormen blev placeret i filen index.js og blev aktiveret gennem en preinstall-handler, der blev kaldt under installationen af den ber\u00f8rte pakke. Efter aktivering s\u00f8gte ormen i systemet efter tokens til NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp og KubernetesK8s samt private SSH-n\u00f8gler. De fundne data blev sendt til angriberne. Hvis et token til forbindelse til NPM-kataloget blev opdaget, offentliggjorde ormen automatisk nye ondsindede udgivelser for pakker, der blev udviklet i det nuv\u00e6rende milj\u00f8, og angreb afh\u00e6ngighedstr\u00e6et. <\/p>\n
Adgang til GitHub Actions blev opn\u00e5et som f\u00f8lge af en kompromittering af kontoen hos en af Red Hats medarbejdere, hvilket gjorde det muligt for angriberne at sende commits direkte til repositories javascript-clients, frontend-components og platform-frontend-ai-toolkit uden at gennemg\u00e5 et reviewsystem. Gennem commits i det kontinuerlige integrationssystem blev filen ci.yaml indsat, som ved opstart af build-jobbet k\u00f8rte et script _index.js ved hj\u00e6lp af platformen bun. Scriptet brugte tilladelsen \u00abid-token: write\u00bb til at anmode GitHub om en OIDC (OpenID Connect) token, som derefter blev anvendt til autentificering i NPM ved hj\u00e6lp af mekanismen \u00abtrusted publishing\u00bb.<\/p>\n