🥇हल्ला करणाऱ्यांनी ३२ रेड हॅट एनपीएम पॅकेजेसमध्ये मालवेअर घुसवला

रेड हॅटच्या रेडहॅटइन्साइट्स रिपॉझिटरीजमधील गिटहब अॅक्शन्सच्या रिलीज प्रक्रियेत घुसखोरी करून, हल्लेखोरांनी रेड हॅट क्लाउड सर्व्हिसेस प्लॅटफॉर्मसाठीच्या ३२ एनपीएम पॅकेजेसच्या ६४ दुर्भावनापूर्ण आवृत्त्या एनपीएम डिरेक्टरीमध्ये प्रकाशित केल्या. प्रत्येक हॅक झालेल्या एनपीएम पॅकेजच्या दोन दुर्भावनापूर्ण आवृत्त्या रिलीज करण्यात आल्या, ज्या प्रत्येकामध्ये असा कोड होता जो मिनी-शाय-हुलुड वर्मच्या एका नवीन प्रकाराला सक्रिय करत होता, जो सध्याच्या वातावरणात टोकन्स आणि क्रेडेन्शियल्स शोधतो.

हा वर्म index.js फाईलमध्ये ठेवला होता आणि एखादे संक्रमित पॅकेज इन्स्टॉल करताना कॉल होणाऱ्या प्रीइन्स्टॉल हँडलरद्वारे सक्रिय केला जात होता. एकदा सक्रिय झाल्यावर, हा वर्म सिस्टीममध्ये NPM (~/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, आणि KubernetesK8s चे टोकन्स, तसेच SSH प्रायव्हेट कीज शोधत असे. त्याला सापडलेला डेटा हल्लेखोरांना पाठवला जात असे. जर एखादे NPM टोकन सापडले, तर हा वर्म सध्याच्या एनवायरनमेंटमध्ये विकसित होत असलेल्या पॅकेजेससाठी आपोआप नवीन दुर्भावनापूर्ण रिलीज प्रकाशित करून डिपेंडन्सी ट्रीला संक्रमित करत असे.

रेड हॅटच्या एका कर्मचाऱ्याचे खाते हॅक करून गिटहब ॲक्शन्समध्ये प्रवेश मिळवण्यात आला, ज्यामुळे हल्लेखोरांना पुनरावलोकन प्रक्रियेतून न जाता थेट javascript-clients, frontend-components, आणि platform-frontend-ai-toolkit रिपॉझिटरीजमध्ये कमिट्स पुश करता आल्या. या कमिट्सनी कंटीन्युअस इंटिग्रेशन सिस्टीममध्ये एक ci.yaml फाईल समाविष्ट केली, जी बिल्ड चालवताना bun प्लॅटफॉर्म वापरून _index.js स्क्रिप्ट कार्यान्वित करत असे. या स्क्रिप्टने गिटहबकडून OIDC (ओपनआयडी कनेक्ट) टोकनची विनंती करण्यासाठी "id-token: write" परवानगीचा वापर केला, ज्याचा उपयोग नंतर "ट्रस्टेड पब्लिशिंग" यंत्रणेद्वारे NPM सह प्रमाणीकरणासाठी केला गेला.

दुर्भावनापूर्ण कोड असलेले NPM पॅकेजेस:

@redhat-cloud-services/chrome (2.3.1, 2.3.2)
@redhat-cloud-services/compliance-client (4.0.3, 4.0.4)
@redhat-cloud-services/config-manager-client (5.0.4, 5.0.5)
@redhat-cloud-services/entitlements-client (4.0.11, 4.0.12)
@redhat-cloud-services/eslint-config-redhat-cloud-services (3.2.1, 3.2.2)
@redhat-cloud-services/frontend-components (7.7.2, 7.7.3)
@redhat-cloud-services/frontend-components-advisor-components (3.8.2)
@redhat-cloud-services/frontend-components-config (6.11.3, 6.11.4)
@redhat-cloud-services/frontend-components-config-utilities (4.11.2, 4.11.3)
@redhat-cloud-services/frontend-components-notifications (6.9.2, 6.9.3)
@redhat-cloud-services/frontend-components-remediations (4.9.2, 4.9.3)
@redhat-cloud-services/frontend-components-testing (1.2.1, 1.2.2)
@redhat-cloud-services/frontend-components-translations (4.4.1, 4.4.2)
@redhat-cloud-services/frontend-components-utilities (7.4.1, 7.4.2)
@redhat-cloud-services/hcc-feo-mcp (0.3.1, 0.3.2)
@redhat-cloud-services/hcc-kessel-mcp (0.3.1, 0.3.2)
@redhat-cloud-services/hcc-pf-mcp (0.6.1, 0.6.2)
@redhat-cloud-services/host-inventory-client (5.0.3, 5.0.4)
@redhat-cloud-services/insights-client (4.0.4, 4.0.5)
@redhat-cloud-services/integrations-client (6.0.4, 6.0.5)
@redhat-cloud-services/javascript-clients-shared (2.0.8, 2.0.9)
@redhat-cloud-services/notifications-client (6.1.4, 6.1.5)
@redhat-cloud-services/patch-client (4.0.4, 4.0.5)
@redhat-cloud-services/quickstarts-client (4.0.11, 4.0.12)
@redhat-cloud-services/rbac-client (9.0.3, 9.0.4)
@redhat-cloud-services/remediations-client (4.0.4, 4.0.5)
@redhat-cloud-services/rule-components (4.7.2, 4.7.3)
@redhat-cloud-services/sources-client (3.0.10, 3.0.11)
@redhat-cloud-services/topological-inventory-client (3.0.10, 3.0.11)
@redhat-cloud-services/tsc-transform-imports (1.2.2)
@redhat-cloud-services/types (3.6.1, 3.6.2, 3.6.4)
@redhat-cloud-services/vulnerabilities-client (2.1.8, 2.1.9)

स्त्रोत: opennet.ru

हल्लेखोरांनी रेड हॅटच्या ३२ एनपीएम पॅकेजेसमध्ये मालवेअर टाकले.