بسته‌های npm ردهت برای سرقت اطلاعات توسعه‌دهندگان به خطر افتادند

بیش از ۳۰ بسته (package) از فضای نام (namespace) «@redhat-cloud-services» در مخزن npm در یک حمله زنجیره تأمین (supply-chain attack) به خطر افتادند. این بسته‌ها با نوع جدیدی از بدافزار سرقت اطلاعات موسوم به «Miasma» — که گونه‌ای از بدافزار Shai-Hulud است — آلوده شدند. شرکت‌های امنیتی Aikido و OX Security این حادثه را کشف کردند و اعلام کردند که ۳۲ بسته و ۹۶ نسخه از آن‌ها تحت تأثیر قرار گرفته‌اند؛ بسته‌هایی که در مجموع حدود ۱۱۷٬۰۰۰ بار در هفته دانلود می‌شوند. بر اساس یافته‌های محققان، مهاجمان با نفوذ به حساب GitHub یکی از کارمندان Red Hat، کدهای مخرب را مستقیماً به مخازن تزریق کردند و از طریق یک اسکریپت پیش‌نصب (preinstall script)، بدافزاری با حجم ۴.۲ مگابایت را اجرا کردند که قادر به سرقت اطلاعات اعتباری (credentials) گیت‌هاب، کلیدهای SSH، توکن‌های CI/CD، اطلاعات AWS، Google Cloud و Azure، و سایر داده‌های حساس بود.

Red Hat پس از آگاهی از این حادثه، بسته‌های آلوده را از مخزن npm حذف کرد و اعلام نمود که این بسته‌ها صرفاً برای ابزارهای توسعه داخلی بوده و هیچ‌گاه در اختیار مشتریان قرار نگرفته‌اند. این شرکت تأکید کرد که تاکنون هیچ تأثیری بر محیط‌های مشتریان یا سیستم‌های تولیدی آن شناسایی نشده است. بدافزار Miasma در مقایسه با نسخه Mini Shai-Hulud دارای لایه‌های پیچیده‌تری از مبهم‌سازی (obfuscation) و قابلیت‌های پیشرفته‌تر سرقت داده است. تا زمان انتشار این گزارش، ۳۰۹ مخزن GitHub توسط این کمپین بدافزاری به خطر افتاده‌اند. به سازمان‌هایی که نسخه‌های آلوده را نصب کرده‌اند توصیه می‌شود فوراً تمامی اطلاعات اعتباری، رمزها و توکن‌های مورد استفاده را تغییر دهند.