Sulmuesit kanë integruar malware në 32 paketat NPM të Red Hat.

Si pasojë e komprometimit të procesit të formimit të lëshimeve bazuar në GitHub Actions në repository-t RedHatInsights që i përkasin kompanisë Red Hat, sulmuesit mundën të publikojnë në katalogun NPM 64 versione të dëmshme, që përfshinin 32 NPM-paketa për platformën Red Hat Cloud Services. Për secilin nga NPM-pakat e prekur u lëshuan dy versione të dëmshme, në të cilat ishte integruar kodi për aktivizimin e një varianti të ri të njollës mini-shai-hulud, që kryente kërkimin e tokeneve dhe kredencialeve në mjedisin aktual.

Njolla ishte vendosur në skedarin index.js dhe aktivizohej përmes një preinstall handler-i, i cili thirrej gjatë instalimit të paketës të prekur. Pas aktivizimit, njolla kryente kërkimin në sistem për tokenet e NPM (~/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp dhe KubernetesK8s, si dhe çelësat e mbyllur SSH. Të dhënat e gjetura iu dërgoheshin sulmuesve. Në rast se gjendej një token për lidhjen me katalogun NPM, njolla automatikisht publikonte lëshime të reja të dëmshme për paketat që ishin duke u zhvilluar në ambientin aktual, duke prekur pemën e varësive.

Qアクセスを取得したのは、Red Hatの従業員のアカウントの侵害の結果であり、攻撃者はjavascript-clients、frontend-components、platform-frontend-ai-toolkitリポジトリに直接コミットを送信することができました。CIシステムでは、ci.yamlファイルがコミットを介して挿入され、ビルド作業が起動する際にbunプラットフォームを使用してスクリプト_index.jsが実行されました。スクリプトは「id-token: write」権限を使用してGitHubからOIDC（OpenID Connect）トークンをリクエストし、それがNPMの認証に「trusted publishing」メカニズムを通じて使用されました。

NPM-pakete që përmbajnë kod të dëmshëm:

• @redhat-cloud-services/chrome (2.3.1, 2.3.2)
• @redhat-cloud-services/compliance-client (4.0.3, 4.0.4)
• @redhat-cloud-services/config-manager-client (5.0.4, 5.0.5)
• @redhat-cloud-services/entitlements-client (4.0.11, 4.0.12)
• @redhat-cloud-services/eslint-config-redhat-cloud-services (3.2.1, 3.2.2)
• @redhat-cloud-services/frontend-components (7.7.2, 7.7.3)
• @redhat-cloud-services/frontend-components-advisor-components (3.8.2)
• @redhat-cloud-services/frontend-components-config (6.11.3, 6.11.4)
• @redhat-cloud-services/frontend-components-config-utilities (4.11.2, 4.11.3)
• @redhat-cloud-services/frontend-components-notifications (6.9.2, 6.9.3)
• @redhat-cloud-services/frontend-components-remediations (4.9.2, 4.9.3)
• @redhat-cloud-services/frontend-components-testing (1.2.1, 1.2.2)
• @redhat-cloud-services/frontend-components-translations (4.4.1, 4.4.2)
• @redhat-cloud-services/frontend-components-utilities (7.4.1, 7.4.2)
• @redhat-cloud-services/hcc-feo-mcp (0.3.1, 0.3.2)
• @redhat-cloud-services/hcc-kessel-mcp (0.3.1, 0.3.2)
• @redhat-cloud-services/hcc-pf-mcp (0.6.1, 0.6.2)
• @redhat-cloud-services/host-inventory-client (5.0.3, 5.0.4)
• @redhat-cloud-services/insights-client (4.0.4, 4.0.5)
• @redhat-cloud-services/integrations-client (6.0.4, 6.0.5)
• @redhat-cloud-services/javascript-clients-shared (2.0.8, 2.0.9)
• @redhat-cloud-services/notifications-client (6.1.4, 6.1.5)
• @redhat-cloud-services/patch-client (4.0.4, 4.0.5)
• @redhat-cloud-services/quickstarts-client (4.0.11, 4.0.12)
• @redhat-cloud-services/rbac-client (9.0.3, 9.0.4)
• @redhat-cloud-services/remediations-client (4.0.4, 4.0.5)
• @redhat-cloud-services/rule-components (4.7.2, 4.7.3)
• @redhat-cloud-services/sources-client (3.0.10, 3.0.11)
• @redhat-cloud-services/topological-inventory-client (3.0.10, 3.0.11)
• @redhat-cloud-services/tsc-transform-imports (1.2.2)
• @redhat-cloud-services/types (3.6.1, 3.6.2, 3.6.4)
• @redhat-cloud-services/vulnerabilities-client (2.1.8, 2.1.9)

Burimi: opennet.ru