{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Aanvallers hebben schadelijke software ingebouwd in 32 NPM-pakketten van Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Als gevolg van de compromittering van het releasetraject op basis van GitHub Actions in de repositories RedHatInsights, die toebehoren aan het bedrijf Red Hat, konden aanvallers 64 schadelijke versies publiceren in de NPM-gids, omvatten 32 NPM-pakketten voor het Red Hat Cloud Services platform. Voor elk van de getroffen NPM-pakketten werden twee schadelijke versies uitgebracht, waarin code was ge\u00efntegreerd om een nieuwe variant van de worm mini-shai-hulud te activeren, die op zoek gaat naar tokens en inloggegevens in de huidige omgeving. <\/p>\n
De worm was geplaatst in het bestand index.js en werd geactiveerd via een preinstall-handler die werd aangeroepen tijdens de installatie van het getroffen pakket. Na activatie zocht de worm in het systeem naar tokens voor NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp en Kubernetes K8s, evenals naar priv\u00e9sleutels voor SSH. Gevonden gegevens werden naar de aanvallers gestuurd. In het geval van ontdekking van een token voor toegang tot het NPM-gids, publiceerde de worm automatisch nieuwe schadelijke releases voor de in de huidige omgeving ontwikkelde pakketten, waarmee de afhankelijkheidsboom werd aangetast. <\/p>\n
Toegang tot GitHub Actions werd verkregen als gevolg van de compromis van een account van een medewerker van Red Hat, waardoor aanvallers rechtstreeks commits konden indienen in de repositories javascript-clients, frontend-components en platform-frontend-ai-toolkit, zonder een beoordelingsfase te doorlopen. Via de commits werd een bestand ci.yaml in het continuous integration-systeem ingebracht, dat bij het starten van een build job met behulp van het platform bun het script _index.js uitvoerde. Het script gebruikte de machtiging \u2018id-token: write\u2019 om een OIDC-token (OpenID Connect) bij GitHub aan te vragen, dat vervolgens werd gebruikt voor authenticatie in NPM via het mechanisme \u2018trusted publishing\u2019.<\/p>\n
NPM-pakketten die schadelijke code bevatten:<\/p>\n