Kao rezultat kompromitacije procesa stvaranja verzija temeljenog na GitHub Actions u repoima RedHatInsights u vlasništvu kompanije Red Hat, napadači su uspjeli objaviti 64 zloćudne verzije u NPM katalogu, pokrivajući 32 NPM paketa za platformu Red Hat Cloud Services. Za svaki od pogođenih NPM paketa objavljene su dvije zloćudne verzije, koje su sadržavale kod za aktivaciju novog soja crva mini-shai-hulud, koji traži tokene i akreditive u trenutnoj okolini.
Crv je bio smješten u datoteci index.js i aktivirao se putem preinstall obradnika, koji se poziva prilikom instalacije pogođenog paketa. Nakon aktivacije, crv je pretraživao sustav za tokene za NPM (~/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp i Kubernetes K8s, kao i za privatne SSH ključeve. Pronađeni podaci su slani napadačima. Ako je otkriven token za pristup NPM katalogu, crv je automatski objavljivao nove zloćudne verzije za pakete koji se razvijaju u trenutnom okruženju, pogađajući stablo ovisnosti.
Pristup GitHub Actions je stečen kao rezultat kompromitacije računa jednog od zaposlenika Red Hata, što je omogućilo napadačima da direktno šalju commit-e u repozitorije javascript-clients, frontend-components i platform-frontend-ai-toolkit, bez prolaska faze recenziranja. Kroz commit-e u sustav kontinuirane integracije, datoteka ci.yaml je bila umetnuta, koja je prilikom pokretanja gradbenog posla pokretala skriptu _index.js pomoću platforme bun. Skripta je koristila ovlasticu "id-token: write" za zahtjev od GitHub-a za OIDC (OpenID Connect) token, koji je zatim korišten za autentifikaciju na NPM putem mehanizma "trusted publishing".
NPM paketi koji sadrže zloćudni kod:
- @redhat-cloud-services/chrome (2.3.1, 2.3.2)
- @redhat-cloud-services/compliance-client (4.0.3, 4.0.4)
- @redhat-cloud-services/config-manager-client (5.0.4, 5.0.5)
- @redhat-cloud-services/entitlements-client (4.0.11, 4.0.12)
- @redhat-cloud-services/eslint-config-redhat-cloud-services (3.2.1, 3.2.2)
- @redhat-cloud-services/frontend-components (7.7.2, 7.7.3)
- @redhat-cloud-services/frontend-components-advisor-components (3.8.2)
- @redhat-cloud-services/frontend-components-config (6.11.3, 6.11.4)
- @redhat-cloud-services/frontend-components-config-utilities (4.11.2, 4.11.3)
- @redhat-cloud-services/frontend-components-notifications (6.9.2, 6.9.3)
- @redhat-cloud-services/frontend-components-remediations (4.9.2, 4.9.3)
- @redhat-cloud-services/frontend-components-testing (1.2.1, 1.2.2)
- @redhat-cloud-services/frontend-components-translations (4.4.1, 4.4.2)
- @redhat-cloud-services/frontend-components-utilities (7.4.1, 7.4.2)
- @redhat-cloud-services/hcc-feo-mcp (0.3.1, 0.3.2)
- @redhat-cloud-services/hcc-kessel-mcp (0.3.1, 0.3.2)
- @redhat-cloud-services/hcc-pf-mcp (0.6.1, 0.6.2)
- @redhat-cloud-services/host-inventory-client (5.0.3, 5.0.4)
- @redhat-cloud-services/insights-client (4.0.4, 4.0.5)
- @redhat-cloud-services/integrations-client (6.0.4, 6.0.5)
- @redhat-cloud-services/javascript-clients-shared (2.0.8, 2.0.9)
- @redhat-cloud-services/notifications-client (6.1.4, 6.1.5)
- @redhat-cloud-services/patch-client (4.0.4, 4.0.5)
- @redhat-cloud-services/quickstarts-client (4.0.11, 4.0.12)
- @redhat-cloud-services/rbac-client (9.0.3, 9.0.4)
- @redhat-cloud-services/remediations-client (4.0.4, 4.0.5)
- @redhat-cloud-services/rule-components (4.7.2, 4.7.3)
- @redhat-cloud-services/sources-client (3.0.10, 3.0.11)
- @redhat-cloud-services/topological-inventory-client (3.0.10, 3.0.11)
- @redhat-cloud-services/tsc-transform-imports (1.2.2)
- @redhat-cloud-services/types (3.6.1, 3.6.2, 3.6.4)
- @redhat-cloud-services/vulnerabilities-client (2.1.8, 2.1.9)
Izvor: opennet.ru
