Red Hatの「@redhat-cloud-services」名前空間に属する30以上のnpmパッケージが、サプライチェーン攻撃によって侵害されました。攻撃者は認証情報窃取マルウェア「Shai-Hulud」の新たな亜種「Miasma」を配布していました。
この事件を発見したのは、セキュリティ企業のAikidoとOX Securityです。両社の調査により、数十のパッケージバージョンに開発者の認証情報、クラウドシークレット、SSHキー、CI/CDトークン、その他の機密情報を窃取するマルウェアのバックドアが仕込まれていたことが判明しました。
Aikidoによると、侵害されたパッケージの週間ダウンロード数は約117,000件に上るとのことです。
Red HatはBleepingComputerに対して声明を発表し、事態を把握した後すぐに該当パッケージを削除したこと、そして今回の侵害は社内開発ツールに限定されていたことを明らかにしました。
「Red Hatは、開発ツールエコシステム内の特定のnpmパッケージに関するセキュリティレポートを確認しました。直ちに調査を開始し、該当パッケージをnpmレジストリから削除しました」とRed HatはBleepingComputerに語っています。
「これらのパッケージは社内開発のみを目的としたものであり、悪意のあるコードがconsole.redhat.comシステムを通じて顧客向けに公開されたことはありません。現在も調査を継続していますが、顧客・パートナー環境やRed Hatの本番システムへの影響は確認されていません。」
同社は引き続き調査を進めているとしていますが、アカウントが侵害された経緯についての質問には回答しませんでした。
GitHubへの侵害を通じたRed Hatパッケージへのバックドア挿入
Aikidoによると、攻撃者はRed Hat従業員のGitHubアカウントを侵害し、そのアカウントを利用して複数のリポジトリに悪意のあるコミットを直接プッシュしたとされています。
これらのコミットには、GitHub Actionsワークフローとnpmの公開メカニズムを悪用して、バックドア入りパッケージをリリースするスクリプトが含まれていました。
「ワークフローが実行されると、Bunをインストールして_index.jsを実行し、OIDC_PACKAGES環境変数を通じてターゲットパッケージのリストを渡します」とAikidoは説明しています。
「このスクリプトはid-token: writeパーミッションを利用してGitHubから短命のOIDCトークンを取得し、そのトークンを使ってnpmの信頼済み公開エンドポイントに直接認証を行い、リスト内のすべてのパッケージのバックドア入りバージョンを公開します。」
侵害されたパッケージには悪意のある「preinstall」スクリプトが含まれており、開発者がパッケージをインストールした際に、難読化が施された悪意のあるindex.jsファイルが自動的に実行される仕組みになっていました。
"scripts": {
"preinstall": "node index.js"
}Aikidoによると、「index.js」のペイロードはサイズが約4.2 MBで、GitHub Actionsシークレット、AWSクレデンシャル、Google Cloudクレデンシャル、AzureサービスプリンシパルクレデンシャルHashiCorp Vaultトークン、Kubernetesサービスアカウントトークン、npmおよびPyPIの公開トークン、SSHキー、Dockerクレデンシャル、GPGキー、そして.envファイルの窃取に使用されます。
Aikidoは、32パッケージ・96パッケージバージョンが侵害の影響を受けており、`@redhat-cloud-services`名前空間で管理されている多数のクライアントライブラリが含まれると述べています。
影響を受けたバージョンをインストールした組織は、感染したデバイス上のコードで使用されているすべての認証情報・シークレット・トークンを直ちにローテーションすることが推奨されています。
Miasma：Shai-Huludの新たな亜種か
ここ数カ月の間、Shai-Huludマルウェアを利用して認証情報を窃取し、他のプロジェクトへ拡散するサプライチェーン攻撃が相次いでいます。
これらの攻撃は、Bitwarden、SAP、Mistral、TanStack、OpenAI、GitHubなど、著名なプロジェクトにも影響を与えています。
5月には、脅威グループ「TeamPCP」がMini Shai-Huludマルウェアフレームワークのソースコードを公開し、他の脅威アクターもこのマルウェアを利用できる状態になりました。
研究者によると、今回のRed Hat侵害で使用されたマルウェアはMini Shai-Huludと多くの共通点を持っていますが、侵害されたGitHubリポジトリ内のコメントに「Miasma: The Spreading Blight」という文字列を使用している点が異なります。
このマルウェアはTeamPCPのMini Shai-Huludに類似していますが、今回のキャンペーンが同グループによるものか、あるいはリークされたマルウェアのソースコードを改変した別の脅威アクターによるものかは、現時点では不明です。
OX Securityによると、このマルウェアはMini Shai-Huludと同様の認証情報窃取機能を維持しつつ、難読化レイヤーの追加、多段階ペイロード配信メカニズム、データ窃取・認証情報収集機能の強化が施されているとのことです。
本稿執筆時点で、Miasmaマルウェアキャンペーンによって309件のGitHubリポジトリが侵害されています。
検証のギャップ：自動ペネトレーションテストが答えるのは一つの問いだけ。本当に必要なのは六つの問いへの回答です。
自動ペネトレーションテストツールは確かな価値を提供しますが、それらが答えるよう設計されているのは「攻撃者はネットワーク内を移動できるか？」という一つの問いに過ぎません。コントロールが脅威をブロックしているか、検知ルールが正常に機能しているか、クラウド設定が堅牢かどうかをテストするためのものではありません。
本ガイドでは、実際に検証すべき6つの領域を解説しています。
