{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Atakuj\u0105cy zainstalowali z\u0142o\u015bliwe oprogramowanie w 32 pakietach NPM Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W wyniku kompromitacji procesu tworzenia wersji opartego na GitHub Actions w repozytoriach RedHatInsights nale\u017c\u0105cych do firmy Red Hat, cyberprzest\u0119pcy byli w stanie opublikowa\u0107 w katalogu NPM 64 z\u0142o\u015bliwe wersje, kt\u00f3re obejmowa\u0142y 32 pakiety NPM dla platformy Red Hat Cloud Services. Dla ka\u017cdego z zainfekowanych pakiet\u00f3w NPM wydano po dwie z\u0142o\u015bliwe wersje, kt\u00f3re zintegrowa\u0142y kod aktywuj\u0105cy now\u0105 wersj\u0119 robaka mini-shai-hulud, wyszukuj\u0105c\u0105 tokeny i dane logowania w bie\u017c\u0105cym \u015brodowisku. <\/p>\n
Robak by\u0142 umieszczony w pliku index.js i aktywowa\u0142 si\u0119 poprzez preinstall-handler, wywo\u0142ywany podczas instalacji zainfekowanego pakietu. Po aktywacji robak przeszukiwa\u0142 system w poszukiwaniu token\u00f3w NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp oraz KubernetesK8s, a tak\u017ce prywatnych kluczy SSH. Znalezione dane by\u0142y wysy\u0142ane do cyberprzest\u0119pc\u00f3w. W przypadku wykrycia tokena do po\u0142\u0105czenia z katalogiem NPM, robak automatycznie publikowa\u0142 nowe z\u0142o\u015bliwe wersje dla rozwijanych w bie\u017c\u0105cym \u015brodowisku pakiet\u00f3w, infiltrowuj\u0105c drzewo zale\u017cno\u015bci. <\/p>\n
Dost\u0119p do GitHub Actions zosta\u0142 uzyskany w wyniku kompromitacji konta jednego z pracownik\u00f3w Red Hat, co pozwoli\u0142o atakuj\u0105cym bezpo\u015brednio wysy\u0142a\u0107 commity do repozytori\u00f3w javascript-clients, frontend-components i platform-frontend-ai-toolkit, omijaj\u0105c etap recenzji. W ramach commit\u00f3w do systemu ci\u0105g\u0142ej integracji wprowadzone zosta\u0142y pliki ci.yaml, kt\u00f3re przy uruchamianiu pracy kompilacyjnej uruchamia\u0142y za pomoc\u0105 platformy bun skrypt _index.js. Skrypt wykorzystywa\u0142 uprawnienia \u201eid-token: write\u201d do za\u017c\u0105dania od GitHub tokena OIDC (OpenID Connect), kt\u00f3ry nast\u0119pnie by\u0142 u\u017cywany do uwierzytelniania w NPM przy pomocy mechanizmu \u201etrusted publishing\u201d.<\/p>\n