Активна атака на ланцюжок постачання npm спрямована на пакунки Red Hat Cloud Services, вплинуло понад 300 репозиторіїв GitHub

Марс Фінанс повідомляє, що 2 червня SlowMist опублікував попередження про безпеку, виявивши активну атаку на ланцюжок постачання npm, спрямовану на пакунки, пов’язані з @redhat-cloud-services. На даний момент підтверджено, що постраждало 31+ пакунок, що отримують близько 116 тисяч завантажень на тиждень, а в більш ніж 300 репозиторіях GitHub виявлено вкрадені облікові дані. Метод атаки дуже схожий на попередню атаку «Shai-Hulud» на npm, включаючи крадіж облікових даних, створення зловмисних репозиторіїв та автоматизований витік секретів. Нові підозрілі репозиторії продовжують з’являтися, що свідчить про те, що атака триває, і розробники продовжують заражатися. Потенційні наслідки включають: крадіж токенів GitHub/npm, витік облікових даних хмарних сервісів AWS/GCP/Azure, збір SSH-ключів та Kubernetes-секретів, витік даних локального середовища та гаманців, створення зловмисних репозиторіїв та тривале втручання, а також можливі руйнівні дії навіть після відкликання токенів. Рекомендується негайно видалити або знизити версії постраждалих пакунків @redhat-cloud-services, повністю провести аудит CI/CD-робочих процесів та встановлення залежностей, змінити всі ключі, пов’язані з GitHub, npm, хмарними сервісами, SSH та гаманцями, зберегти журнали та відновити заражені машини розробників або Runner з чистих образів, залишаючись у стані високої обережності.