{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Gli attaccanti hanno integrato malware in 32 pacchetti NPM di Red Hat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A seguito della compromissione del processo di creazione delle release basate su GitHub Actions nei repository RedHatInsights di propriet\u00e0 di Red Hat, i malintenzionati sono riusciti a pubblicare 64 versioni dannose nel catalogo NPM, che colpiscono 32 pacchetti NPM per la piattaforma Red Hat Cloud Services. Per ogni pacchetto NPM compromesso sono state rilasciate due versioni dannose, integrate con codice per attivare una nuova variante del worm mini-shai-hulud, che esegue la ricerca di token e credenziali nell'ambiente corrente. <\/p>\n
Il worm era contenuto nel file index.js e si attivava tramite un gestore preinstallazione, invocato durante l'installazione del pacchetto compromesso. Dopo l'attivazione, il worm cercava nella sistema token NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp e KubernetesK8s, oltre a chiavi SSH private. I dati trovati venivano inviati ai malintenzionati. In caso di scoperta di un token per accedere al catalogo NPM, il worm pubblicava automaticamente nuove release dannose per i pacchetti in fase di sviluppo nell'ambiente corrente, colpendo l'albero delle dipendenze. <\/p>\n
L'accesso a GitHub Actions \u00e8 stato ottenuto a seguito della compromissione dell'account di uno dei dipendenti di Red Hat, consentendo agli attaccanti di inviare direttamente commit nei repository javascript-clients, frontend-components e platform-frontend-ai-toolkit, senza passare attraverso la fase di revisione. Tramite i commit nel sistema di integrazione continua, veniva iniettato un file ci.yaml che, al momento dell'avvio del lavoro di build, eseguiva tramite la piattaforma bun lo script _index.js. Lo script utilizzava il diritto \"id-token: write\" per richiedere a GitHub un token OIDC (OpenID Connect), che veniva poi utilizzato per l'autenticazione su NPM tramite il meccanismo \"trusted publishing\".<\/p>\n