{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Los atacantes introdujeron malware en 32 paquetes NPM de Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Como resultado de la compromisi\u00f3n del proceso de generaci\u00f3n de lanzamientos basado en GitHub Actions en los repositorios de RedHatInsights de la empresa Red Hat, los atacantes pudieron publicar 64 versiones maliciosas en el cat\u00e1logo de NPM, abarcando 32 paquetes de NPM para la plataforma Red Hat Cloud Services. Para cada uno de los paquetes de NPM afectados, se emitieron dos versiones maliciosas que integraban c\u00f3digo para activar una nueva variante del gusano mini-shai-hulud, que busca tokens y credenciales en el entorno actual. <\/p>\n
El gusano se alojaba en el archivo index.js y se activaba a trav\u00e9s de un manejador preinstall que se invocaba durante la instalaci\u00f3n del paquete afectado. Tras su activaci\u00f3n, el gusano buscaba en el sistema tokens de NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp y KubernetesK8s, as\u00ed como claves SSH privadas. Los datos encontrados se enviaban a los atacantes. En caso de descubrir un token de conexi\u00f3n al cat\u00e1logo de NPM, el gusano publicaba autom\u00e1ticamente nuevas versiones maliciosas para los paquetes en desarrollo en el entorno actual, afectando el \u00e1rbol de dependencias. <\/p>\n
El acceso a GitHub Actions se obtuvo como resultado de la compromisi\u00f3n de la cuenta de uno de los empleados de Red Hat, lo que permiti\u00f3 a los atacantes enviar directamente commits a los repositorios javascript-clients, frontend-components y platform-frontend-ai-toolkit, sin pasar por la etapa de revisi\u00f3n. A trav\u00e9s de los commits en el sistema de integraci\u00f3n continua, se introdujo un archivo ci.yaml que, al ejecutar el trabajo de construcci\u00f3n, activaba un script _index.js utilizando la plataforma bun. El script utiliz\u00f3 el permiso \"id-token: write\" para solicitar a GitHub un token OIDC (OpenID Connect), que se aplic\u00f3 para la autenticaci\u00f3n en NPM mediante el mecanismo de \"publicaci\u00f3n confiable\".<\/p>\n
Los paquetes de NPM que contienen c\u00f3digo malicioso:<\/p>\n