Slow Fog: Pakiet npm usługi chmurowej Red Hat celem aktywnego ataku na łańcuch dostaw; skradzione dane uwierzytelniające znaleziono w ponad 300 repozytoriach GitHub

SlowMist wydało ostrzeżenie dotyczące bezpieczeństwa, wykrywając aktywny atak na łańcuch dostaw npm wymierzony w pakiety @redhat-cloud-services. Obecnie potwierdzono zainfekowanie ponad 31 pakietów, które są pobierane około 116 000 razy tygodniowo, a skradzione dane uwierzytelniające znajdują się w ponad 300 repozytoriach GitHub. Metoda tego ataku jest wysoce zbliżona do wcześniejszego ataku npm „Shai-Hulud”, obejmując kradzież danych uwierzytelniających, tworzenie złośliwych repozytoriów oraz zautomatyzowany wyciek kluczy. Wciąż pojawiają się nowe podejrzane repozytoria, co wskazuje, że atak trwa, a programiści są nieustannie infekowani.

Potencjalne zagrożenia obejmują: kradzież tokenów GitHub/npm, wyciek danych uwierzytelniających do chmur AWS/GCP/Azure, przejęcie kluczy SSH i sekretów Kubernetes, wyciek danych ze środowisk lokalnych i portfeli, tworzenie złośliwych repozytoriów i zapewnianie trwałości ataku, a nawet potencjalnie destrukcyjne działania po unieważnieniu tokenów. Zaleca się natychmiastowe usunięcie lub zmianę wersji zainfekowanych pakietów @redhat-cloud-services na starsze, przeprowadzenie kompleksowego audytu przepływów pracy CI/CD oraz instalacji zależności, rotację wszystkich kluczy powiązanych z GitHub, npm, usługami chmurowymi, SSH i portfelami, zabezpieczenie logów oraz przywrócenie zainfekowanych maszyn programistycznych lub systemów Runner z czystych obrazów przy zachowaniu wysokiego poziomu czujności.