Das Sicherheitsunternehmen StepSecurity enthüllte am 1. Juni, dass Angreifer einen Hintertürcode in den offiziellen @redhat-cloud-services npm-Veröffentlichungsbereich von Red Hat eingeschleust haben. Mindestens 32 Pakete waren betroffen, mit etwa 64 bis 95 einzelnen Versionen; die wöchentlichen Downloads dieser Pakete betrugen rund 117.000. Die Schadsoftware ist eine abgewandelte Variante des am 12. Mai veröffentlichten Shai-Hulud Credential-Collection-Frameworks und trägt den Namen „Miasma“. Sie wird über den preinstall-Hook sofort beim Ausführen von npm install ausgelöst, ohne dass ein Anwendungscode laufen muss. Das Installationsskript hat eine Größe von 4,2 MB (normalerweise sind solche Dateien nur wenige Kilobyte groß) und enthält eine dreifache Verschleierung. Nach der Ausführung scannt es den unformatierten Speicher des Build-Prozesses (unter Umgehung von Log-Leakage-Schutz) und stiehlt GitHub-Actions-Secrets sowie Zugriffstoken für AWS, GCP, Azure, Kubernetes, HashiCorp Vault, npm und CircleCI. Zur Liste der infizierten Pakete gehören unter anderem @redhat-cloud-services/chrome v2.3.1 und @redhat-cloud-services/frontend-components v7.7.2.
Miasma ist zur Selbstreplikation fähig: Nachdem es einen npm-Veröffentlichungstoken erbeutet hat, nutzt es publishConfig, um die Zwei-Faktor-Authentifizierung zu umgehen, und verbreitet neue Hintertürversionen in anderen Paketen, die mit dem kompromittierten Konto erreichbar sind — es breitet sich entlang des Abhängigkeitsbaums aus. Der bösartige Code erkennt und umgeht gezielt Sicherheitstools wie CrowdStrike, SentinelOne, Carbon Black und StepSecurity Harden-Runner und überspringt russische Systemumgebungen. Die Angreifer haben keine Anmeldeinformationen gestohlen, sondern eine strukturelle Schwachstelle im vertrauenswürdigen npm GitHub-Actions-OIDC-Veröffentlichungsprozess ausgenutzt — es reicht aus, Schreibzugriff auf das Ziel-Repository zu haben und Workflow-Dateien ändern zu können. Der genaue Einstiegspunkt ist noch nicht abschließend geklärt. Red Hat bestätigte, dass die betroffenen Pakete aus der npm-Registrierung entfernt wurden, und erklärte: „Diese Pakete waren streng auf interne Entwicklungswerkzeuge beschränkt, der schädliche Code wurde nie in einem Red Hat-Produkt oder -Dienst ausgeführt.“ Bemerkenswert ist, dass das Shai-Hulud-Framework, auf dem Miasma basiert, nur 20 Tage vor dem Angriff (12. Mai) veröffentlicht wurde — ein Zeichen dafür, dass offensive Tools extrem schnell bewaffnet werden.