侵害された Red Hat npm パッケージが 1 週間で 80,000 回以上ダウンロード – サプライチェーン攻撃は依然として継続中

Red Hat の npm パッケージは Mini Shai-Hulud バージョンで侵害されました
攻撃者は GitHub の秘密とクラウド認証情報をターゲットにします
Copycat Worm は関連性はあるが類似したクラフトを提示します

最近、多くの Red Hat npm パッケージが Mini Shai-Hulu ワームの亜種によって侵害され、汚染されています。このワームは、GitHub Actions シークレット、npm トークン、その他の貴重な情報を標的としています。何千もの開発者とプロジェクトが潜在的に危険にさらされています。

最近、Red Hat 従業員の 1 人が GitHub アカウントを侵害されました。攻撃者はこのアプローチを使用して、数十の npm パッケージに侵入し、侵害しました。

たとえば、Wiz はこれまでに 32 のパッケージを特定しており、それらのパッケージは 1 週間に約 80,000 件ダウンロードされています。一方、Socket は 95 個のパケットを検出したと主張しています。両組織は攻撃が現在進行中であることを認め、感染した荷物の数がさらに増加する可能性があることを示唆した。

TeamPCP のコピー

すべてのパッケージは Red Hat Cloud Services 名前空間で公開されます。同社は攻撃を確認した レジストラそして問題のコンテンツを削除したと述べた。「パッケージは内部開発に厳密に限定されており、悪意のあるコードが console.redhat.com システム経由で顧客の使用のために公開されたことはありません。調査は進行中ですが、顧客やパートナーの環境、または Red Hat 実稼働システムへの影響は確認されていません。」

Socket によれば、攻撃者は人々の GitHub Actions シークレット、npm トークン、クラウド認証情報、Kubernetes と Vault のもの、SSH キー、Git 認証情報、その他の機密ファイルを狙っているとのこと。「暗号化されたロジックと GitHub ベースの反論メカニズムも含まれており、攻撃者が資格情報を盗もうとしただけでなく、サプライチェーンのさらなる配布を可能にしていることを示しています。」

もともと、Shay-Hulud ミニ攻撃の背後にいるグループは TeamPCP でした。しかし、彼らはワームをオープンソース化したため、同様の戦略を使用するコピーキャットやその他の脅威が出現しました。このキャンペーンで見られた小さな外観の変更は、そのようなグループの 1 つを示しています。

Wiz 氏は、Sand の世界への言及はすべてギリシャ神話のテーマに置き換えられているが、それ以外の基本的な機能とクラフトは「基本的に同じまま」であると主張しています。このワームの顕著な違いの 1 つは、Google Cloud Platform と Microsoft Azure の ID、および感染したコンピュータがアクセスできる ID の収集です。

を通して レジストラ