Ataque ativo na cadeia de suprimentos npm visa pacotes do Red Hat Cloud Services, mais de 300 repositórios do GitHub afetados

Mars Finance relata que, em 2 de junho, a SlowMist emitiu um alerta de segurança detectando um ataque ativo à cadeia de suprimentos npm, alvo de pacotes relacionados ao @redhat-cloud-services. Até o momento, foram confirmados mais de 31 pacotes afetados, com cerca de 116 mil downloads semanais, e credenciais roubadas encontradas em mais de 300 repositórios do GitHub. A técnica de ataque é altamente semelhante ao anterior ataque npm "Shai-Hulud", incluindo roubo de credenciais, criação de repositórios maliciosos e vazamento automatizado de segredos. Novos repositórios suspeitos continuam a surgir, indicando que o ataque ainda está em andamento e que desenvolvedores continuam sendo infectados. Os riscos potenciais incluem: roubo de tokens GitHub/npm, vazamento de credenciais AWS/GCP/Azure, coleta de chaves SSH e segredos Kubernetes, vazamento de dados de ambientes locais e carteiras, criação de repositórios maliciosos e operações de persistência, além de possíveis ações destrutivas mesmo após a revogação dos tokens. Recomenda-se remover ou rebaixar imediatamente as versões afetadas dos pacotes @redhat-cloud-services, realizar uma auditoria abrangente dos fluxos CI/CD e da instalação de dependências, rotacionar todas as chaves relacionadas ao GitHub, npm, serviços em nuvem, SSH e carteiras, manter logs e reconstruir máquinas ou Runners de desenvolvedores expostas a partir de imagens limpas, mantendo-se em alerta máximo.