Atak na łańcuch dostaw Red Hata. 32 pakiety NPM z kradzieżą danych
Hakerzy opublikowali złośliwe wersje 32 pakietów NPM Red Hata, infekując środowiska programistyczne. Opisujemy, jak doszło do ataku, jakie dane były celem i co powinni zrobić administratorzy.
W poniedziałek 1 czerwca 2026 roku doszło do poważnego incydentu w ekosystemie open source. Hakerzy opublikowali złośliwe wersje 32 pakietów NPM należących do Red Hata, infekując środowiska programistyczne na całym świecie. Atak, określany jako supply chain, dotknął pakiety z ekosystemu Red Hat Hybrid Cloud Console JavaScript, które łącznie mają blisko 10 milionów pobrań. Dla polskich firm korzystających z rozwiązań Red Hata lub zależnych od tych bibliotek to sygnał do natychmiastowego przeglądu bezpieczeństwa.
Jak doszło do ataku?
Badacze z ReversingLabs i Aikido przeanalizowali mechanizm ataku. W ciągu zaledwie 72 sekund opublikowano zatrute wersje wszystkich 32 pakietów, co wskazuje na użycie automatyzacji. Zdaniem ekspertów Aikido napastnicy najprawdopodobniej skompromitowali potok CI/CD i wykorzystali GitHub Actions OIDC do publikacji złośliwych wersji. ReversingLabs sugeruje, że hakerzy mieli dostęp do poświadczeń zakresu @redhat-cloud-services w NPM.
Złośliwe pakiety zawierały preinstall hook – skrypt uruchamiany podczas instalacji, jeszcze przed zaimportowaniem kodu. Powoduje to, że samo wykonanie polecenia npm install mogło doprowadzić do infekcji.
Co kradnie malware?
Ładunek nosi wewnętrzną nazwę „Miasma: The Spreading Blight” i jest wariantem robaka Mini Shai-Hulud, którego grupa TeamPCP wykorzystywała w poprzednich atakach na społeczność open source. Według raportu firmy Socket malware został zaprojektowany do kradzieży „secrets z GitHub Actions, tokenów npm, poświadczeń chmurowych, materiałów Kubernetes i Vault, kluczy SSH, poświadczeń Git oraz innych wrażliwych plików”.
Podobnie jak Mini Shai-Hulud, robak wysyła zebrane dane na serwer kontrolowany przez atakujących i korzysta z mechanizmu awaryjnego opartego na GitHubie – publikuje skradzione informacje w nowo utworzonych publicznych repozytoriach. Ox Security zidentyfikowało 210 repozytoriów zawierających skradzione poświadczenia, co sugeruje, że przynajmniej tylu programistów zostało zainfekowanych po pobraniu i zainstalowaniu złośliwych wersji pakietów.
Kto jest zagrożony?
Atak dotknął przede wszystkim programistów i administratorów, którzy w ostatnich dniach instalowali lub aktualizowali pakiety z zakresu @redhat-cloud-services. Ponieważ pakiety te są szeroko używane jako biblioteki pośrednie (transitive dependencies), zagrożenie może być znacznie szersze, niż wynika z bezpośrednich instalacji. Red Hat opublikował już czyste wersje wszystkich 32 pakietów, a złośliwe iteracje zostały usunięte z rejestru NPM.
Warto zaznaczyć, że nie ma obecnie informacji o tym, by atak był wymierzony bezpośrednio w polskie instytucje. Jednak ze względu na globalny charakter łańcucha dostaw oprogramowania, każda firma korzystająca z ekosystemu JavaScript i NPM powinna sprawdzić, czy nie używa skompromitowanych pakietów.
Co robić?
Red Hat zaleca natychmiastową aktualizację do czystej wersji pakietów. Każdy, kto zainstalował złośliwą wersję, powinien uznać swoje środowisko za skompromitowane. Konieczne jest:
- Rotacja wszystkich tokenów, kluczy API, haseł i poświadczeń, do których malware mógł uzyskać dostęp.
- Sprawdzenie zależności pośrednich (transitive dependencies) w projektach.
- Monitorowanie środowiska pod kątem nietypowych połączeń wychodzących.
- Przegląd repozytoriów GitHub pod kątem nieautoryzowanych zmian w plikach konfiguracyjnych.
Dla polskich administratorów i programistów to również dobry moment, by przejrzeć swoje praktyki bezpieczeństwa w zakresie łańcucha dostaw. Należy rozważyć wdrożenie narzędzi do skanowania zależności, takich jak npm audit, oraz ograniczenie uprawnień tokenów CI/CD.
Co dalej?
Incydent pokazuje, jak skutecznie mogą działać ataki na łańcuch dostaw, gdy napastnicy zdobędą dostęp do poświadczeń zaufanego wydawcy. W najbliższych tygodniach można spodziewać się kolejnych analiz ze strony firm bezpieczeństwa oraz ewentualnych informacji o dalszych ofiarach. Administratorzy powinni śledzić komunikaty Red Hata oraz wpisy na blogach firm takich jak ReversingLabs, Socket i Ox Security. Najważniejsze jest jednak działanie: aktualizacja pakietów i rotacja poświadczeń to podstawa.
