{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Angreifer haben Schadsoftware in 32 NPM-Pakete von Red Hat eingebaut.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Durch die Kompromittierung des Prozesses zur Erstellung von Releases basierend auf GitHub Actions in den Repositories RedHatInsights, die der Firma Red Hat geh\u00f6ren, konnten Angreifer 64 schadhafte Versionen in das NPM-Verzeichnis ver\u00f6ffentlichen, die 32 NPM-Pakete f\u00fcr die Plattform Red Hat Cloud Services betreffen. F\u00fcr jedes der betroffenen NPM-Pakete wurden zwei schadhafte Versionen ver\u00f6ffentlicht, die Code f\u00fcr die Aktivierung einer neuen Variante des Wurms mini-shai-hulud integrierten, welcher Token und Anmeldedaten in der aktuellen Umgebung suchte. <\/p>\n
Der Wurm war in der Datei index.js untergebracht und wurde \u00fcber einen preinstall-Handler aktiviert, der beim Installieren des betroffenen Pakets aufgerufen wurde. Nach der Aktivierung suchte der Wurm im System nach Tokens f\u00fcr NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp und KubernetesK8s sowie nach privaten SSH-Schl\u00fcsseln. Die gefundenen Daten wurden an die Angreifer gesendet. Im Falle der Entdeckung eines Tokens f\u00fcr den Zugriff auf das NPM-Verzeichnis ver\u00f6ffentlichte der Wurm automatisch neue schadhafte Releases f\u00fcr die in der aktuellen Umgebung entwickelten Pakete und infizierte den Abh\u00e4ngigkeitsbaum. <\/p>\n
Der Zugriff auf GitHub Actions erfolgte nach der Kompromittierung eines Kontos eines Mitarbeiters von Red Hat, was Angreifern erm\u00f6glichte, direkt Commits in die Repositories javascript-clients, frontend-components und platform-frontend-ai-toolkit zu senden, ohne die \u00dcberpr\u00fcfungsphase zu durchlaufen. \u00dcber die Commits wurde eine ci.yaml-Datei in das Continuous Integration-System integriert, die beim Start des Build-Jobs \u00fcber die Plattform bun das Skript _index.js ausf\u00fchrte. Das Skript verwendete die Berechtigung \u201eid-token: write\u201c, um bei GitHub ein OIDC (OpenID Connect) Token anzufordern, das anschlie\u00dfend f\u00fcr die Authentifizierung bei NPM mittels des Mechanismus \u201etrusted publishing\u201c verwendet wurde.<\/p>\n
NPM-Pakete, die schadhafter Code enthalten:<\/p>\n