Een nieuwe Mini Shai-Hulud supply chain-aanvalscampagne, met de codenaam Miasmaheeft @redhat-cloud-services-pakketten gecompromitteerd om inloggegevens en geheimen van ontwikkelaarsmachines te stelen en een zichzelf voortplantende worm af te leveren.
“Dit is in feite een Mini Shai-Hulud-campagne: het gebruikt dezelfde kerntactieken van uitvoering tijdens de installatie, het verzamelen van inloggegevens, CI/CD-targeting, gecodeerde exfiltratie en potentiële stroomafwaartse verspreiding”, aldus Socket.
Wie precies achter de aanvalsactiviteiten zit, is momenteel onbekend, aangezien TeamPCP, een beruchte cybercriminaliteitsgroep, de aanvalstools die zijn gekoppeld aan de Shai-Hulud-worm open source heeft gemaakt, waardoor de deur wordt geopend voor andere bedreigingsactoren om soortgelijke aanvallen uit te voeren en de definitieve toeschrijving moeilijker wordt.
De namen van enkele van de betrokken pakketten staan hieronder vermeld:
- @redhat-cloud-services/vulnerabilities-client
- @redhat-cloud-services/tsc-transform-imports
- @redhat-cloud-services/topologische-inventaris-client
- @redhat-cloud-services/sources-client
- @redhat-cloud-services/rule-componenten
- @redhat-cloud-services/remediations-client
- @redhat-cloud-services/rbac-client
Volgens analyses van Aikido Security, JFrog, Microsoft, OX Security, SafeDep, StepSecurity en Wiz bevatten de npm-pakketten een versluierde pre-install hook die is ontworpen om GitHub Actions-geheimen, npm-tokens, cloudreferenties, Kubernetes- en Vault-materiaal, SSH-sleutels, Git-referenties en andere gevoelige bestanden te verzamelen.
Zoals waargenomen in eerdere Mini Shai-Hulud-golven, bevat de malware ook gecodeerde exfiltratielogica die de gegevens verzendt naar “api.anthropic(.)com:443/v1/api” en gebruikt GitHub als terugvalmechanisme. Dit duidt op pogingen van de aanvaller om zowel inloggegevens te stelen als deze te bewapenen om de softwaretoeleveringsketen verder te vergiftigen.
“Het legt de gecodeerde resultaatenvelop vast via de GitHub API”, aldus Socket. “Het commit-bericht kan het volgende bevatten: IfYouInvalidateThisTokenItWillNukeTheComputerOfTheOwner:
Een andere opmerkelijke stap die de malware uitvoert, is het vermijden van uitvoering op Russischtalige systemen, een patroon dat ook wordt waargenomen in de GlassWorm-toeleveringsketencampagnes.
“Voor npm roept de payload de OIDC-tokenuitwisseling en whoami-eindpunten aan, herverpakt een tarball (updateTarball, package-updated.tgz) en ondertekent het artefact via Sigstore”, aldus SafeDep. “Gestolen inloggegevens exfiltreren naar door de aanvaller gemaakte openbare GitHub-opslagplaatsen, elk met de beschrijving Miasma: The Spreading Blight.”
De eerste commit met de string “Miasma: The Spreading Blight” verscheen op 29 mei 2026, merkte OX Security op, wat aangeeft dat deze variant sindsdien actief was, of dat de bedreigingsacteur rond die tijd begon met testen.
Wat GitHub betreft, de malware somt de opslagplaatsen op waarnaar het token kan schrijven, leest action.yml/action.yaml via GraphQL en voert een workflow uit via de createCommitOnBranch-mutatie, zodat de commit verschijnt als een geverifieerde, ondertekende wijziging. Andere acties die door de malware worden uitgevoerd, worden hieronder vermeld:
- Probeer privilege-escalatie uit te voeren door een container te starten die de host /etc/sudoers.d koppelt en de CI-runner een wachtwoordloze sudo verleent
- Controleer op eindpuntbescherming van CrowdStrike, SentinelOne, Carbon Black en StepSecurity Harden-Runner voordat u met kwaadaardige acties begint
- Creëer persistentie door een SessionStart-hook te injecteren in Anthropic Claude Code en een task.json met “runOn”: “folderOpen” voor Microsoft Visual Studio Code-projecten, zodat de malware automatisch wordt gestart tijdens elke sessie
“Een van de belangrijkste veranderingen in deze nieuwe variant is de toevoeging van nieuwe dataverzamelaars gericht op cloud-identiteiten”, aldus Wiz-onderzoekers. “Specifiek zijn er verzamelaars voor GCP- en Azure-identiteiten toegevoegd die alle identiteiten verzamelen waartoe de geïnfecteerde machine toegang heeft. Terwijl eerdere versies van de malware zich voornamelijk richtten op het extraheren van geheimen uit deze omgevingen, suggereert deze variant een grotere focus van aanvallers op het verkrijgen en benutten van toegang tot de cloud zelf.
In tegenstelling tot eerdere versies is gebleken dat de malware voor elke infectie een uniek gecodeerde lading genereert, waardoor detectie en het volgen van versies aanzienlijk uitdagender worden.
Er zijn aanwijzingen dat het gecompromitteerde GitHub-account van een Red Hat-medewerker de patiënt nul was die werd gebruikt om de payload in deze pakketten te injecteren. Het gecompromitteerde account zou kwaadaardige weescommits naar twee RedHatInsights-repository’s hebben gepusht, waardoor de codebeoordeling werd omzeild.
Het wordt aanbevolen om hosts te isoleren die de getroffen versies hebben geïnstalleerd, de kwaadaardige versies te verwijderen, blootgestelde inloggegevens te roteren, te controleren op tekenen van verdachte GitHub- of npm-activiteit, de omgeving te controleren op persistentieartefacten die wijzigingen in configuratiebestanden met zich meebrengen (~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml, .github/setup.js) en sterke toegangscontroles af te dwingen.
“Omdat de malware uitvoering op de achtergrond en potentiële persistentiemechanismen van ontwikkelaarstools bevat, mag het verwijderen van het npm-pakket of het verwijderen van node_modules niet als voldoende opruiming worden beschouwd”, legt Socket uit.
“Voor CI/CD-systemen moet u de betrokken workflow-uitvoeringen onderbreken, build-artefacten die tijdens de blootstellingsperiode zijn geproduceerd, ongeldig maken en controleren of er een release, containerimage, npm-pakket of implementatie-artefact is gemaakt nadat het kwaadaardige pakket was geïnstalleerd.”
