Атакующие встроили вредоносное ПО в 32 NPM-пакета Red Hat

01.06.2026 22:56 (MSK)

В результате компрометации процесса формирования релизов на базе GitHub Actions в принадлежащих компании Red Hat репозиториях RedHatInsights, злоумышленники смогли опубликовать в каталоге NPM 64 вредоносные версии, охватывающие 32 NPM-пакета для платформы Red Hat Cloud Services. Для каждого из поражённых NPM-пакетов были выпущены по две вредоносные версии, в которые был интегрирован код для активации нового варианта червя mini-shai-hulud, выполняющего поиск токенов и учётных данных в текущем окружении.

Червь размещался в файле index.js и активировался через preinstall-обработчик, вызываемый при установке поражённого пакета. После активации червь выполнял поиск в системе токенов к NPM (~/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp и KubernetesK8s, а также закрытых ключей SSH. Найденные данные отправлялись злоумышленникам. В случае обнаружения токена для подключения к каталогу NPM червь автоматически публиковал новые вредоносные релизы для разрабатываемых в текущем окружении пакетов, поражая дерево зависимостей.

Доступ к GitHub Actions был получен в результате компрометации учётной записи одного из сотрудников Red Hat, что позволило атакующим напрямую отправить коммиты в репозитории javascript-clients, frontend-components и platform-frontend-ai-toolkit, без прохождения стадии рецензирования. Через коммиты в систему непрерывной интеграции подставлялся файл ci.yaml, который при запуске сборочной работы запускал при помощи платформы bun скрипт _index.js. Скрипт использовал полномочие "id-token: write" для запроса у GitHub токена OIDC (OpenID Connect), который затем применялся для аутентификации в NPM при помощи механизма "trusted publishing".

NPM-пакеты, содержащие вредоносный код:

@redhat-cloud-services/chrome (2.3.1, 2.3.2)
@redhat-cloud-services/compliance-client (4.0.3, 4.0.4)
@redhat-cloud-services/config-manager-client (5.0.4, 5.0.5)
@redhat-cloud-services/entitlements-client (4.0.11, 4.0.12)
@redhat-cloud-services/eslint-config-redhat-cloud-services (3.2.1, 3.2.2)
@redhat-cloud-services/frontend-components (7.7.2, 7.7.3)
@redhat-cloud-services/frontend-components-advisor-components (3.8.2)
@redhat-cloud-services/frontend-components-config (6.11.3, 6.11.4)
@redhat-cloud-services/frontend-components-config-utilities (4.11.2, 4.11.3)
@redhat-cloud-services/frontend-components-notifications (6.9.2, 6.9.3)
@redhat-cloud-services/frontend-components-remediations (4.9.2, 4.9.3)
@redhat-cloud-services/frontend-components-testing (1.2.1, 1.2.2)
@redhat-cloud-services/frontend-components-translations (4.4.1, 4.4.2)
@redhat-cloud-services/frontend-components-utilities (7.4.1, 7.4.2)
@redhat-cloud-services/hcc-feo-mcp (0.3.1, 0.3.2)
@redhat-cloud-services/hcc-kessel-mcp (0.3.1, 0.3.2)
@redhat-cloud-services/hcc-pf-mcp (0.6.1, 0.6.2)
@redhat-cloud-services/host-inventory-client (5.0.3, 5.0.4)
@redhat-cloud-services/insights-client (4.0.4, 4.0.5)
@redhat-cloud-services/integrations-client (6.0.4, 6.0.5)
@redhat-cloud-services/javascript-clients-shared (2.0.8, 2.0.9)
@redhat-cloud-services/notifications-client (6.1.4, 6.1.5)
@redhat-cloud-services/patch-client (4.0.4, 4.0.5)
@redhat-cloud-services/quickstarts-client (4.0.11, 4.0.12)
@redhat-cloud-services/rbac-client (9.0.3, 9.0.4)
@redhat-cloud-services/remediations-client (4.0.4, 4.0.5)
@redhat-cloud-services/rule-components (4.7.2, 4.7.3)
@redhat-cloud-services/sources-client (3.0.10, 3.0.11)
@redhat-cloud-services/topological-inventory-client (3.0.10, 3.0.11)
@redhat-cloud-services/tsc-transform-imports (1.2.2)
@redhat-cloud-services/types (3.6.1, 3.6.2, 3.6.4)
@redhat-cloud-services/vulnerabilities-client (2.1.8, 2.1.9)

исправить +3 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/65599-redhat

Ключевые слова: redhat, npm

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (14)

1.3, King_Carlo (ok), 23:27, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Энтерпрайзно! Срочно в продакшн!

2.13, Аноним (13), 23:58, 01/06/2026 [^] [^^] [^^^] [ответить]	+/–
> в принадлежащих компании Red Hat репозиториях RedHatInsights, злоумышленники смогли опубликовать в каталоге NPM 64 вредоносные версии Когда все силы брошены в раст, системду и вейленд, получаем то, что получили.

1.4, Аркагоблин (?), 23:36, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Новости про взломы пакетов в NPM и PyPi уже можно в мемы оформлять, насколько это часто и однотипно случается

1.5, Аноним (5), 23:43, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Это корпорасты с краудстрайками, групповыми политиками и прочими ендпоинтами. Если черви и их прогрызли, то есть ли где-то вообще островок безопасности? Можно ли работать с NPM и не получить червя?

1.7, Аноним (7), 23:45, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
На хакерньюс советуют выкинуть npm и использовать pnpm, в котором preinstall скрипты по умолчанию отключены.

2.9, Аноним83 (?), 23:53, 01/06/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Ну отключены преинсталл, оно соберётся же и запустится, и всё равно сделает то что там запрогали.

2.12, анони (?), 23:56, 01/06/2026 [^] [^^] [^^^] [ответить]	+/–
pnpm, это который от неадеквата? Ну, удачи при выборе из двух стульев

1.8, Аноним (8), 23:52, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Да... NPM это какой-то розыгрыш, который затянулся: https://www.opennet.me/keywords/npm.html

1.10, нах. (?), 23:56, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]

+/–

а кто понял кто на ком стоял и что это за нафиг вообще был такой? В смысле, что это вообще за скрипты, каким васянам и зачем они ненужно?

(это не кусок опенштифта, это вообще что за фигня-то?)

1.11, Аноним83 (?), 23:56, 01/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Такими темпами скоро гитхуб начнёт не только 2фа требовать но и приложить ID смарткарту (пасспорт) на кардридер для осуществления коммита. Потом начнут требовать приносить подписаннаую у нотариуса распечатку коммита в специальный центр... В общем оно никогда не кончится, и случается даже с приличными проектами на С, просто совсем-совсем редко.

1.14, Аноним (14), 00:07, 02/06/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
"в результате компрометации учётной записи одного из сотрудников Red Hat" Хочется спросить вот вы там берете деньги с клиентов, а у вас хватило денег купить каждому ответственному сотруднику физический ключ второго фактора? Или эти правила не для вас?

2.15, Аноним (15), 00:16, 02/06/2026 [^] [^^] [^^^] [ответить]

+/–

>Хочется спросить вот вы там берете деньги с клиентов, а у вас хватило денег купить каждому ответственному сотруднику физический ключ второго фактора?

Да они просто зацензурят везде (в том числе и тут). Нет новостей, нет проблем. На самом деле очень важно понять как изначально они сделали это, может просто бабла ему кинули, может он за лейоф отомстил и т.д. И про это молчат как рыбы.

В самом худшем случае, можно все пакет манагеры для всех языков удалять. Слишком много таких событий, наверняка правило 7 (или сколько там было) скачков в соц графе и в мире софта работает. То есть любой пакет может стать в любой момент вредоносным.

3.17, Аноним (13), 00:20, 02/06/2026 [^] [^^] [^^^] [ответить]	+/–
> любой пакет может стать в любой момент вредоносным. Да уже считай карго крейты с червячками.

2.16, Аноним (13), 00:18, 02/06/2026 [^] [^^] [^^^] [ответить]	+/–
> физический ключ Думаете, RH-сотрудники не смогут его потерять?

игнорирование участников | лог модерирования

Добавить комментарий

Текст: