Red Hat npm-pakketten getroffen: 30+ repo's leveren cloudcredentialdiefstal
Een gecoördineerde supplychainaanval op npm voor het stelen van cloudcredentials heeft een van de meest herkenbare namen in enterprise-software geraakt. Onbekende aanvallers compromitteerden meer dan 30 Red Hat Cloud Services npm-pakketten door eerst het GitHub-account van een Red Hat-medewerker over te nemen en die toegang vervolgens te gebruiken om kwaadaardige commits te pushen. De malware die in deze pakketten zat, geïdentificeerd als een variant van de 'Mini Shai-Hulud'-stam, wordt automatisch bij installatie uitgevoerd en begint meteen met het exfiltreren van cloudcredentials, waaronder AWS-, GCP- en Azure-toegangssleutels, evenals SSH-sleutels en Kubernetes-configuratiebestanden.
Dit incident valt niet op door een zwakte in npm zelf, maar door de manier waarop de aanvallers binnenkwamen: via een legitieme, vertrouwde ontwikkelaarsidentiteit.
Hoe de Red Hat npm-pakketten werden gecompromitteerd
De aanvalsketen begon met de compromittering van één GitHub-account van een Red Hat-medewerker. Eenmaal in dat account hadden de aanvallers de toegang die nodig was om code rechtstreeks naar de repositories te pushen die gekoppeld zijn aan de Red Hat Cloud Services npm-pakketten. Omdat de commits afkomstig waren van een erkend bijdragersaccount, stuitten geautomatiseerde pijplijnen en collegiale beoordelingen op een veel hogere drempel om iets verdachts op te merken.
Dit is het kenmerk van een software supplychainaanval: de kwaadaardige payload reist mee met legitieme software, ondertekend en verspreid via vertrouwde kanalen. Ontwikkelaars die tijdens het compromitteringsvenster een van de getroffen pakketten hebben geïnstalleerd of bijgewerkt, hebben de malware onbewust op hun eigen systemen uitgevoerd, zonder duidelijke waarschuwing. De pakketten zelf bleven normaal functioneren, waardoor detectie nog moeilijker werd.
De 'Mini Shai-Hulud'-malwarevariant is specifiek ontworpen om te worden uitgevoerd op het moment van installatie, zodra een ontwikkelaar npm install typt. Het wacht niet tot de applicatie start of tot een gebruiker ermee interacteert. Deze aanpak verkort de tijd tussen infectie en exfiltratie aanzienlijk.
Welke credentials werden gestolen en waarom ze ertoe doen
De doelenlijst van de malware leest als een checklist van de meest schadelijke zaken die een aanvaller kan ontfutselen aan een ontwikkelwerkstation of een runner van een CI/CD-pijplijn. AWS-, Google Cloud Platform- en Azure-credentialbestanden zijn primaire doelwitten, omdat deze sleutels vaak brede rechten hebben over de productie-infrastructuur. SSH-privésleutels en Kubernetes-configuratiebestanden maken de buit compleet, waardoor aanvallers potentiële laterale bewegingspaden krijgen naar interne netwerken en containerorkestratieclusters.
Voor organisaties die geautomatiseerde buildpijplijnen gebruiken, wordt het blootstellingsrisico versterkt. CI/CD-systemen slaan vaak langlevende cloudcredentials op als omgevingsvariabelen of gekoppelde secrets. Eén geïnfecteerde buildrunner kan in stilte sleutels overdragen die hele cloudomgevingen beheren, wat mogelijk de deur opent naar data-exfiltratie, het uitrollen van ransomware of persistente backdoor-toegang.
Dit is ook de reden waarom beveiligingsteams in gedachten moeten houden dat toegangspunten in de toeleveringsketen vaak leiden tot een diepere systeemcompromittering. CISA's recente markering van CVE-2026-31431, een lek in Linux voor lokale privilege-escalatie, is een directe herinnering: aanvallers die op een systeem terechtkomen met gestolen credentials of initiële toegang, stoppen daar zelden. Ze zoeken naar de volgende schakel in de keten.
Waarom supplychainaanvallen een blinde vlek zijn voor standaardbeveiliging
Conventionele beveiligingstools zijn gebaseerd op de aanname dat externe, niet-ondertekende of onbekende code de dreiging vormt. Firewalls, endpointdetectie-agents en op handtekeningen gebaseerde scanners zijn gekalibreerd om afwijkingen te markeren. Supplychainaanvallen ondermijnen dat model door zich te verbergen in software die een legitieme handtekening draagt en via een verwacht kanaal binnenkomt.
In dit geval zouden het merk Red Hat en de bijbehorende GitHub-accountgeschiedenis de gecompromitteerde pakketten een hoge mate van impliciet vertrouwen hebben gegeven. Ontwikkelaars die aan Red Hat-gerelateerde infrastructuur werken, hebben deze pakketten mogelijk juist geïnstalleerd omdat ze verwachtten dat ze goed onderhouden en veilig zouden zijn.
Standaard tools voor het scannen van afhankelijkheden die controleren op bekende kwetsbare versies, zouden installatietijd-credentialdiefstal niet opmerken, tenzij de kwaadaardige versie al was gemarkeerd in een kwetsbaarhedendatabase. De aanval maakt misbruik van de kloof tussen detectie van 'bekend kwaad' en gedragsanalyse.
Gelaagde verdediging: secrets-beheer, netwerksegmentatie en VPN's
Geen enkele afzonderlijke controle stopt een geavanceerde supplychainaanval, maar gelaagde verdediging kan de impact aanzienlijk verkleinen.
Secrets-beheer in plaats van lokale credentialbestanden. De meest effectieve beperking is het volledig elimineren van statische credentialbestanden van ontwikkelaarsmachines en CI/CD-runners. Tools die kortlevende, just-in-time credentials uitgeven, zorgen ervoor dat zelfs als een credential wordt gestolen, het verloopt voordat een aanvaller er zinvol gebruik van kan maken.
Dependency pinning en integriteitsverificatie. Pakketten vastzetten op specifieke, geverifieerde commit-hashes in plaats van zwevende versiereeksen beperkt de blootstelling aan onverwachte codewijzigingen. Dit combineren met geautomatiseerde integriteitscontroles op pakketinhoud voegt een extra detectielaag toe.
Netwerksegmentatie en uitgaande filtering. De Mini Shai-Hulud-malware moet gestolen gegevens ergens naartoe sturen. Uitgaande verbindingen van bouwomgevingen en ontwikkelaarsmachines beperken tot bekende eindpunten kan exfiltratie voorkomen, zelfs wanneer malware met succes wordt uitgevoerd. VPN's en zero-trust-netwerkarchitecturen kunnen dit uitgaande beleid consistent afdwingen voor verspreide teams.
Multi-factor authenticatie op elk ontwikkelaarsaccount. De initiële compromittering hier was een overname van een GitHub-account. Sterke MFA-eisen, met name hardwarebeveiligingssleutels of passkey-gebaseerde authenticatie, maken accountkaping aanzienlijk moeilijker.
Gedragsmonitoring in CI/CD-pijplijnen. Waarschuwingen bij onverwachte uitgaande DNS-queries of netwerkverbindingen tijdens de bouwfase kunnen installatietijd-malware aan het licht brengen voordat gestolen credentials worden gebruikt.
Wat dit voor jou betekent
Als je ontwikkel- of productieomgeving afhankelijk is van Red Hat Cloud Services npm-pakketten, is de eerste prioriteit om te controleren welke pakketversies in gebruik zijn, te zoeken naar indicatoren van compromittering in netwerklogs rond installatiemomenten en alle cloudcredentials te roteren die mogelijk aanwezig waren op getroffen systemen.
Meer in het algemeen is dit incident een aansporing om de hygiëne van je cloudcredentials van begin tot eind te herzien. Worden credentials als bestanden op ontwikkelaarsmachines opgeslagen? Zijn CI/CD-omgevingsvariabelen afgebakend tot minimale rechten? Wordt MFA afgedwongen voor elk account met rechten om pakketten te publiceren?
Supplychainaanvallen slagen door misbruik van vertrouwen. De tegenmaatregel is het bouwen van systemen die niet alleen op impliciet vertrouwen steunen; geverifieerde identiteiten, tijdgebonden secrets en gedragsmonitoring vormen de basis. Begin vandaag nog met een credential-audit en behandel elke afhankelijkheid als een potentieel aanvalsoppervlak dat de nodige aandacht verdient.
