Red Hat npm-pakker rammet: 30+ repoer leverer skysertifikattyv
En koordinert npm-forsyningskjede-kampanje for skysertifikattyveri har rammet et av de mest kjente navnene innen bedriftsprogramvare. Ukjente angripere kompromitterte over 30 Red Hat Cloud Services npm-pakker ved først å kapre en Red Hat-ansatts GitHub-konto, og deretter bruke denne tilgangen til å skyve ondsinnede innsendinger. Skadevaren innebygd i disse pakkene, identifisert som en variant av 'Mini Shai-Hulud'-stammen, kjøres automatisk ved installasjonstidspunktet og begynner umiddelbart å eksfiltrere skysertifikater, inkludert AWS-, GCP- og Azure-tilgangsnøkler, samt SSH-nøkler og Kubernetes-konfigurasjonsfiler.
Denne hendelsen skiller seg ut, ikke på grunn av en svakhet i selve npm, men på grunn av hvordan angriperne kom seg inn: gjennom en legitim, pålitelig utvikleridentitet.
Hvordan Red Hat npm-pakkene ble kompromittert
Angrepskjeden begynte med kompromitteringen av en enkelt GitHub-konto som tilhørte en Red Hat-ansatt. Når de var inne på kontoen, hadde angriperne tilgangen som trengtes for å skyve kode direkte til repoer knyttet til Red Hat Cloud Services npm-pakker. Fordi innsendingene kom fra en gjenkjent bidragsyterkonto, hadde automatiserte pipelines og fagfellebedømmere en mye høyere terskel for å oppdage noe mistenkelig.
Dette er det definerende trekket ved et programvare-forsyningskjedeangrep: den ondsinnede lasten reiser inni legitim programvare, signert og distribuert gjennom pålitelige kanaler. Utviklere som installerte eller oppdaterte noen av de berørte pakkene i løpet av kompromissvinduet, ville uvitende ha kjørt skadevaren på sine egne systemer, uten noen åpenbar advarsel. Selve pakkene fortsatte å fungere normalt, noe som gjorde det enda vanskeligere å oppdage.
'Mini Shai-Hulud'-skadevarevarianten er spesielt utviklet for å kjøre ved installasjon, i det øyeblikket en utvikler skriver npm install. Den venter ikke på at applikasjonen skal starte eller på at en bruker skal samhandle med den. Denne tilnærmingen forkorter dramatisk tiden mellom infeksjon og eksfiltrasjon.
Hvilke sertifikater som ble stjålet og hvorfor de betyr noe
Skadevarens målliste leses som en sjekkliste over de mest skadelige tingene en angriper kunne hente ut fra en utviklers arbeidsstasjon eller CI/CD-pipeline-runner. AWS-, Google Cloud Platform- og Azure-sertifikatfiler er hovedmål, da disse nøklene ofte har brede tillatelser på tvers av produksjonsinfrastruktur. SSH-privatnøkler og Kubernetes-konfigurasjonsfiler fullfører fangsten, og gir angriperne potensielle veier for sideveis bevegelse inn i interne nettverk og container-orkestreringsklynger.
For organisasjoner som kjører automatiserte byggepipelines, forsterkes eksponeringsrisikoen. CI/CD-systemer lagrer ofte langvarige skysertifikater som miljøvariabler eller monterte hemmeligheter. En enkelt infisert bygg-runner kunne i stillhet overlevere nøkler som kontrollerer hele skymiljøer, og potensielt åpne døren for dataeksfiltrasjon, utplassering av løsepengevirus eller vedvarende bakdørstilgang.
Dette er også grunnen til at sikkerhetsteam bør huske at inngangspunkter i forsyningskjeden ofte kjedes videre til dypere systemkompromittering. CISAs nylige flagging av CVE-2026-31431, en Linux lokal rettighetseskaleringssårbarhet, er en direkte påminnelse: angripere som lander på et system med stjålne sertifikater eller innledende tilgang, stopper sjelden der. De ser etter neste ledd i kjeden.
Hvorfor forsyningskjedeangrep er et blindpunkt for standard sikkerhet
Konvensjonelle sikkerhetsverktøy er bygget rundt antakelsen om at ekstern, usignert eller ukjent kode er trusselen. Brannmurer, endepunktdeteksjonsagenter og signaturbaserte skannere er kalibrert for å flagge anomalier. Forsyningskjedeangrep undergraver den modellen ved å gjemme seg inne i programvare som bærer en legitim signatur og ankommer gjennom en forventet kanal.
I dette tilfellet ville Red Hat-merkevaren og den tilknyttede GitHub-kontohistorikken ha gitt de kompromitterte pakkene en høy grad av implisitt tillit. Utviklere som jobber med Red Hat-relatert infrastruktur kan ha installert disse pakkene nettopp fordi de forventet at de skulle være godt vedlikeholdt og sikre.
Standard avhengighetsskanningsverktøy som sjekker etter kjente sårbare versjoner, ville ikke fange opp installasjonsstjeler av sertifikater med mindre den ondsinnede versjonen allerede var flagget i en sårbarhetsdatabase. Angrepet utnytter gapet mellom 'kjent ond' deteksjon og adferdsanalyse.
Flerlagsforsvar: hemmelighetshåndtering, nettverkssegmentering og VPN-er
Ingen enkeltkontroll stopper et sofistikert forsyningskjedeangrep, men flerlagsforsvar kan betydelig redusere skadeomfanget.
Hemmelighetshåndtering over lokale sertifikatfiler. Den mest effektive avbøtningen er å eliminere statiske sertifikatfiler fra utviklermaskiner og CI/CD-runnere fullstendig. Verktøy som utsteder kortvarige, akkurat-til-tid-sertifikater betyr at selv om et sertifikat blir stjålet, utløper det før en angriper kan gjøre meningsfull bruk av det.
Avhengighetslåsing og integritetsverifisering. Å låse pakker til spesifikke, verifiserte commit-hasher i stedet for flytende versjonsintervaller begrenser eksponeringen for uventede kodeendringer. Kombinert med automatiserte integritetssjekker på pakkeinnhold legger til et nytt deteksjonslag.
Nettverkssegmentering og utgående filtrering. Mini Shai-Hulud-skadevaren trenger å sende stjålne data et sted. Å begrense utgående tilkoblinger fra byggemiljøer og utviklermaskiner til kjente endepunkter kan forhindre eksfiltrasjon selv når skadevaren kjører vellykket. VPN-er og nulltillit-nettverksarkitekturer kan håndheve disse utgående retningslinjene konsistent på tvers av distribuerte team.
Flerfaktorautentisering på hver utviklerkonto. Den opprinnelige kompromitteringen her var en GitHub-konto-overtakelse. Sterke MFA-krav, spesielt maskinvaresikkerhetsnøkler eller passnøkkelbasert autentisering, gjør kontokapring betydelig vanskeligere.
Adferdsovervåking i CI/CD-pipelines. Varsling om uventede utgående DNS-spørringer eller nettverkstilkoblinger under byggefasen kan avdekke installasjonsskadevare før stjålne sertifikater blir brukt.
Hva dette betyr for deg
Hvis utviklings- eller driftsmiljøet ditt avhenger av noen Red Hat Cloud Services npm-pakker, er den umiddelbare prioriteringen å revidere hvilke pakkeversjoner som er i bruk, sjekke etter indikatorer på kompromiss i nettverkslogger rundt installasjonshendelser, og rotere eventuelle skysertifikater som kan ha vært til stede på berørte systemer.
Mer generelt er denne hendelsen en oppfordring til å gjennomgå skysertifikathygienen fra ende til annen. Lagres sertifikater som filer på utviklermaskiner? Er CI/CD-miljøvariabler begrenset til minste privilegium? Er MFA håndhevet på hver konto med pakkepubliseringsrettigheter?
Forsyningskjedeangrep lykkes ved å utnytte tillit. Mottiltaket er å bygge systemer som ikke utelukkende stoler på implisitt tillit, verifiserte identiteter, tidsbegrensede hemmeligheter og adferdsovervåking er grunnlaget. Start med en sertifikatrevisjon i dag, og behandle hver avhengighet som en potensiell angrepsflate som fortjener gransking.
