{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Gli aggressori hanno integrato malware in 32 pacchetti NPM di Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A seguito della compromissione del processo di creazione delle versioni basato su GitHub Actions nei repository di RedHatInsights, di propriet\u00e0 di Red Hat, gli attaccanti sono riusciti a pubblicare nel catalogo NPM 64 versioni malevole che coprono 32 pacchetti NPM per la piattaforma Red Hat Cloud Services. Per ogni pacchetto NPM compromesso sono state rilasciate due versioni malevole, che integravano codice per attivare una nuova variante del worm mini-shai-hulud, in grado di cercare token e credenziali nell'ambiente attuale. <\/p>\n
Il worm era presente nel file index.js e si attivava tramite un gestore preinstallazione, chiamato durante l'installazione del pacchetto compromesso. Dopo l'attivazione, il worm cercava nel sistema token per NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp e KubernetesK8s, oltre a chiavi SSH chiuse. I dati trovati venivano inviati agli aggressori. In caso di rilevamento di un token per la connessione al catalogo NPM, il worm pubblicava automaticamente nuove versioni malevole per i pacchetti in fase di sviluppo nell'ambiente attuale, colpendo l'albero delle dipendenze. <\/p>\n
L'accesso a GitHub Actions \u00e8 stato ottenuto a seguito della compromissione dell'account di un dipendente di Red Hat, permettendo agli attaccanti di inviare direttamente commit nei repository javascript-clients, frontend-components e platform-frontend-ai-toolkit, senza passare per la fase di revisione. Attraverso i commit, il file ci.yaml \u00e8 stato inserito nel sistema di integrazione continua, il quale, all'avvio del processo di costruzione, eseguiva tramite la piattaforma bun lo script _index.js. Lo script utilizzava il permesso \u00abid-token: write\u00bb per richiedere a GitHub un token OIDC (OpenID Connect), che veniva poi utilizzato per l'autenticazione in NPM tramite il meccanismo \u00abtrusted publishing\u00bb.<\/p>\n