Атака на npm-пакеты Red Hat угрожает облачным учетным данным

1 июня 2026 года исследователи Wiz Research сообщили об атаке на цепочку поставок, затронувшей несколько пакетов npm в пространстве имен @redhat-cloud-services. По данным отчета, компрометации подверглись 32 релиза, в которые были внесены несанкционированные изменения, не совпадающие с исходным кодом. Эти пакеты в среднем получали около 80 000 загрузок в неделю, что делает инцидент особенно значимым с точки зрения масштаба потенциального воздействия.

Как был внедрен вредоносный код

Общий вредоносный код был рассчитан на выполнение уже на этапе установки. Для этого злоумышленники добавили в пакеты скрипты preinstall, которые запускали вредоносный JavaScript-файл index.js. Такой подход позволяет атакующему активировать полезную нагрузку еще до того, как пользователь успеет полноценно использовать пакет, что повышает эффективность атаки и затрудняет ее обнаружение.

В основу вредоносной нагрузки лег вариант malware Mini Shai-Hulud, модифицированный по сравнению с оригинальной версией. При этом визуальные элементы были изменены: отсылки к вселенной «Дюны» заменили на мифологию Древней Греции. Однако, как отмечают исследователи, основная функциональность осталась во многом прежней.

Что изменилось в новой версии Mini Shai-Hulud

Наиболее заметным усовершенствованием стала интеграция сборщиков данных, нацеленных на кражу учетных данных облачных идентификаторов, прежде всего для Google Cloud Platform (GCP) и Azure. Это указывает на смещение фокуса вредоносного ПО в сторону эксплуатации облачной инфраструктуры, а не только извлечения секретов из скомпрометированных сред разработки.

Кроме того, новый вариант malware создает уникальную зашифрованную полезную нагрузку для каждой компрометации. Это существенно осложняет обнаружение и реагирование на инцидент. В отличие от более ранних версий, где использовались статические методы, такие модификации делают хэш-индикаторы компрометации (IOCs) менее надежными: они применимы лишь к конкретным версиям затронутых пакетов.

• внедрение скриптов preinstall для запуска вредоносного кода;
• использование файла index.js как точки исполнения;
• кража учетных данных облачных идентификаторов;
• ориентация на GCP и Azure;
• генерация уникальной зашифрованной полезной нагрузки для каждого случая компрометации.

Как произошла компрометация

Расследование показало, что инцидент стал результатом компрометации учетной записи GitHub конкретного сотрудника Red Hat. По данным Wiz Research, злоумышленники использовали измененную учетную запись для внесения вредоносных изменений через orphaned commits в два репозитория, успешно обойдя механизмы проверки кода.

Исследователи также указывают, что инцидент соответствует наблюдаемым тактикам, техникам и процедурам (TTPs), связанным с операциями TeamPCP Mini Shai-Hulud. В то же время, учитывая публичный релиз кода базового malware, нельзя исключать, что другие злоумышленники смогут адаптировать и воспроизвести эти методы. Это, по мнению авторов отчета, требует осторожности при определении прямой ответственности.

Рекомендации для организаций

Wiz Research рекомендует организациям немедленно провести расследование в затронутых средах разработки, включая рабочие станции и конвейеры CI/CD. Особое внимание следует уделить поиску признаков компрометации, анализу активности в GitHub и проверке всех подозрительных действий.

В отчете отдельно подчеркивается необходимость аудита затронутых пакетов npm и поиска несанкционированных токенов доступа. С учетом возможного раскрытия конфиденциальных учетных данных разработчиков эксперты советуют провести ротацию ключей и усилить защиту цепочки поставок программного обеспечения.

В числе мер, которые могут повысить устойчивость инфраструктуры:

• allowlist зависимостей;
• генерация SBOM;
• проактивный мониторинг рабочих процессов разработки и сборки;
• регулярный аудит учетных записей и токенов доступа;
• проверка целостности пакетов и артефактов сборки.

Инцидент с @redhat-cloud-services показывает, насколько уязвимой остается цепочка поставок программного обеспечения, особенно когда злоумышленники получают доступ к учетным записям разработчиков и используют доверенные механизмы публикации. В такой модели атаки вредоносный код распространяется вместе с легитимным пакетом, что делает своевременное выявление и реагирование критически важными для защиты инфраструктуры.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.