Una nueva campaña de ataque a la cadena de suministro Mini Shai-Hulud, con nombre en código Miasma, comprometió el paquete @redhat-cloud-services para robar credenciales e información confidencial de las máquinas de los desarrolladores y distribuir un gusano autopropagante.
«Esta es efectivamente una campaña Mini Shai-Hulud, que utiliza las mismas tácticas centrales de ejecución en la instalación, recopilación de credenciales, segmentación de CI/CD, exfiltración cifrada y posible propagación descendente», dijo Socket.
Actualmente no está claro exactamente quién está detrás de la campaña, dado que el notorio grupo de cibercrimen TeamPCP tiene herramientas de ataque de código abierto relacionadas con el gusano Shai-Hulud, lo que abre oportunidades para que otros actores de amenazas lleven a cabo ataques similares y dificulta identificar a un atacante claro.
Algunos de los nombres de los paquetes afectados se enumeran a continuación.
@redhat-cloud-services/vulnerabilities-client @redhat-cloud-services/tsc-transform-imports @redhat-cloud-services/topological-inventory-client @redhat-cloud-services/sources-client @redhat-cloud-services/rule-components @redhat-cloud-services/remediations-client @redhat-cloud-services/rbac-client
Según un análisis realizado por Aikido Security, JFrog, Microsoft, OX Security, SafeDep, StepSecurity y Wiz, los paquetes npm contienen enlaces de preinstalación ofuscados diseñados para recopilar secretos de GitHub Actions, tokens npm, credenciales de nube, materiales de Kubernetes y Vault, claves SSH, credenciales de Git y otros archivos confidenciales.
Como se observó en oleadas anteriores de Mini Shai-Hulud, el malware también contiene una lógica de exfiltración cifrada que envía datos a ‘api.anthropic(.)com:443/v1/api’ y utiliza GitHub como mecanismo alternativo. Esto representa un intento de un atacante de robar credenciales y utilizarlas como arma para atacar aún más la cadena de suministro de software.
«Enviamos el sobre de resultados cifrado a través de la API de GitHub», dijo Socket. «El mensaje de confirmación puede incluir IfYouInvalidateThisTokenItWillNukeTheComputerOfTheOwner:.»
Otro paso notable dado por este malware es evitar su ejecución en sistemas rusos. Este es un patrón que también se observa en la campaña de la cadena de suministro GlassWorm.
«Para npm, la carga útil llama al intercambio de tokens OIDC y al punto final whoami, vuelve a empaquetar el tarball (updateTarball, package-updated.tgz) y firma el artefacto a través de Sigstore», dijo SafeDep. «Las credenciales robadas se filtraron a repositorios públicos de GitHub creados por los atacantes, cada uno con la descripción Miasma: The Spreading Blight».
La primera confirmación que contiene la cadena «Miasma: The Spreading Blight» apareció el 29 de mayo de 2026, lo que indica que la variante ha estado activa o que los actores de amenazas han comenzado a probarla desde entonces, señaló OX Security.
Con respecto a GitHub, el malware enumera los repositorios en los que puede escribir el token, lee action.yml/action.yaml a través de GraphQL y confirma el flujo de trabajo mediante la mutación createCommitOnBranch para que la confirmación aparezca como un cambio firmado verificado. Otras acciones realizadas por el malware se enumeran a continuación.
Enlace el montaje del host /etc/sudoers.d e intente escalar privilegios iniciando un contenedor que otorgue sudo sin contraseña al ejecutor de CI. Verifique la protección de endpoints con CrowdStrike, SentinelOne, Carbon Black y StepSecurity Harden-Runner antes de iniciar acciones maliciosas. Inyecte un gancho SessionStart en Anthropic Claude Code y establezca la persistencia inyectando un task.json con «runOn»: «folderOpen» de Microsoft. Habilite los proyectos de Visual Studio Code para iniciar malware automáticamente en cada sesión
«Uno de los principales cambios en esta nueva variante es la adición de un nuevo recolector de datos centrado en identidades en la nube», dijeron los investigadores de Wiz. «Específicamente, agregamos un recopilador de ID de GCP y Azure que recopila todas las identidades a las que tiene acceso una máquina infectada. Mientras que las versiones anteriores del malware se centraban principalmente en extraer secretos de estos entornos, esta variante sugiere que los atacantes se centran en obtener y aprovechar el acceso a la propia nube».
A diferencia de las versiones anteriores, también se ha descubierto que este malware genera una carga útil cifrada de forma única para cada infección, lo que dificulta mucho la detección y el seguimiento de versiones.
La evidencia sugiere que la cuenta de GitHub del empleado de Red Hat fue comprometida por Patient Zero, que se utilizó para inyectar cargas útiles en estos paquetes. La cuenta comprometida supuestamente envió confirmaciones huérfanas maliciosas a dos repositorios de RedHatInsights, evitando las revisiones de código.
Le recomendamos aislar los hosts que han instalado la versión afectada, eliminar las versiones maliciosas, rotar las credenciales expuestas, verificar si hay signos de actividad sospechosa en GitHub o npm y auditar su entorno en busca de artefactos de persistencia con cambios en los archivos de configuración (~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml, .github/setup.js). Aplique fuertes controles de acceso.
«Desinstalar paquetes npm o eliminar node_modules no debe considerarse una limpieza suficiente, ya que este malware incluye ejecución en segundo plano y posibles mecanismos de persistencia de herramientas de desarrollador», explicó Socket.
«Para los sistemas CI/CD, suspenda la ejecución de los flujos de trabajo afectados, deshabilite los artefactos de compilación generados durante el período de exposición y verifique si se crearon versiones, imágenes de contenedor, paquetes npm o artefactos de implementación después de instalar el paquete malicioso».
Source link
