{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Os invasores incorporaram malware em 32 pacotes NPM da Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Como resultado da comprometimento do processo de cria\u00e7\u00e3o de lan\u00e7amentos na base do GitHub Actions, reposit\u00f3rios do RedHatInsights pertencentes \u00e0 empresa Red Hat permitiram que invasores publicassem 64 vers\u00f5es maliciosas no diret\u00f3rio NPM, abrangendo 32 pacotes NPM para a plataforma Red Hat Cloud Services. Para cada um dos pacotes NPM afetados, foram lan\u00e7adas duas vers\u00f5es maliciosas que integravam c\u00f3digo para ativar uma nova variante do worm mini-shai-hulud, que procurava tokens e credenciais no ambiente atual. <\/p>\n
O worm estava localizado no arquivo index.js e era ativado por meio de um manipulador preinstall, chamado durante a instala\u00e7\u00e3o do pacote afetado. Ap\u00f3s a ativa\u00e7\u00e3o, o worm procurava na m\u00e1quina tokens do NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp e KubernetesK8s, al\u00e9m de chaves SSH privadas. Os dados encontrados eram enviados aos invasores. Caso um token para conex\u00e3o ao diret\u00f3rio NPM fosse descoberto, o worm publicava automaticamente novas vers\u00f5es maliciosas para os pacotes sendo desenvolvidos no ambiente atual, comprometendo a \u00e1rvore de depend\u00eancias. <\/p>\n
O acesso ao GitHub Actions foi obtido devido \u00e0 compromiss\u00e3o da conta de um dos funcion\u00e1rios da Red Hat, permitindo que os atacantes enviassem commits diretamente para os reposit\u00f3rios javascript-clients, frontend-components e platform-frontend-ai-toolkit, sem passar pela fase de revis\u00e3o. Atrav\u00e9s dos commits no sistema de integra\u00e7\u00e3o cont\u00ednua, um arquivo ci.yaml era inserido, que, ao iniciar o trabalho de compila\u00e7\u00e3o, executava via plataforma bun o script _index.js. O script usava a permiss\u00e3o \u201cid-token: write\u201d para solicitar ao GitHub um token OIDC (OpenID Connect), que era ent\u00e3o utilizado para autentica\u00e7\u00e3o no NPM atrav\u00e9s do mecanismo \u201ctrusted publishing.\u201d<\/p>\n