Red Hat'in 32 npm paketi Shai-Hulud'un yeni türü Miasma ile zehirlendi
Aikido ve OX Security, @redhat-cloud-services ad alanındaki 32 paketin 96 sürümünde geliştirici kimlik bilgilerini çalan kod tespit etti.
npm ekosistemini sarsan solucan tipi saldırılar bu kez Red Hat'e ait paketlere ulaştı. BleepingComputer'ın 1 Haziran 2026 tarihli haberine göre güvenlik firmaları Aikido ve OX Security, @redhat-cloud-services ad alanındaki 32 paketin 96 sürümünün ele geçirildiğini tespit etti. Aikido'ya göre bu paketler haftada yaklaşık 117 bin kez indiriliyor.
Saldırı zinciri
Bildirilere göre saldırganlar bir Red Hat çalışanının GitHub hesabını ele geçirerek birden fazla depoya commit gönderdi. Bu commit'ler, GitHub'ın OIDC token'ını kullanarak npm'in güvenilir yayımlama (trusted publishing) mekanizması üzerinden arka kapılı sürümler yayımlayan bir GitHub Actions iş akışı ekledi. Zararlı sürümler kurulum sırasında yaklaşık 4,2 MB büyüklüğünde, ağır biçimde gizlenmiş bir index.js dosyasını preinstall betiğiyle çalıştırıyordu.
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Neler çalınıyor?
Aikido'nun analizine göre zararlı yazılım şu verileri hedefliyor:
- GitHub Actions sırları
- AWS, Google Cloud ve Azure kimlik bilgileri
- HashiCorp Vault ve Kubernetes token'ları
- npm ve PyPI yayımlama token'ları
- SSH, Docker ve GPG anahtarları ile
.envdosyaları
Araştırmacılar kampanyayı, Shai-Hulud solucanının yeni bir türü olan Miasma olarak adlandırdı. Haberde, bu türün TeamPCP'nin Mini Shai-Hulud'una benzediği ancak sızdırılmış kaynak kodu değiştiren başka bir aktörün sorumlu olup olmadığının belirsiz olduğu belirtiliyor. Yazının kaleme alındığı sırada kampanyadan etkilenen GitHub deposu sayısı 309 olarak aktarıldı.
Red Hat'in açıklaması
Red Hat, paketleri npm kayıt defterinden kaldırdığını ve olayın dahili geliştirme araçlarıyla sınırlı kaldığını açıkladı. Şirket, müşteri ve iş ortağı ortamları ile üretim sistemleri üzerinde bir etki tespit etmediğini bildirdi; hesabın nasıl ele geçirildiğine dair sorulara ise yanıt vermedi.
Ne yapılmalı?
package.json, kilit dosyaları, SBOM'lar, paket önbellekleri ve derleme imajlarında etkilenen@redhat-cloud-servicessürümlerini arayın.- 1 Haziran sonrasında bu sürümleri kuran sistemlerdeki tüm sırları, token'ları ve anahtarları temiz bir ortamdan değiştirin.
- Depolara eklenen beklenmedik GitHub Actions iş akışlarını denetleyin ve yayımlama yetkilerini en aza indirin.
