Red Hat bestätigt Lieferketteneingriff bei npm-Paketen der Cloud-Services

Die Red-Hat-Entwicklungsteams haben schnell reagiert und die kompromittierten Versionen nach der ersten Offenlegung aus npm entfernt. Die Bedrohungsintelligenz, dass das Malware-Tool hinter diesem Supply-Chain-Kompromiss der hochentwickelte Shai-Hulud-Infostealer ist, eine Kampagne, die weit über typisches npm-Malware hinausgeht.

Während konventionelles npm-Malware üblicherweise mit einer bis drei Ausführungsstufen operiert, setzt Shai-Hulud eine sechsstufige Payload-Lieferkette ein, die sich in einem endlosen Ausführungszyklus selbst durchschleift.

Der Angriff beginnt mit einem verschlüsselten index.js-Payload, durchläuft Verschlüsselungs- und Dekodierungsstufen und platziert schließlich 15 unterschiedliche Payloads, darunter Tools zum Speicherauslesen, Token-Monitore, Claude-API-Hooks sowie einen auf GitHub basierenden Payload-Verteiler.

Technischer Hintergrund

GitHub als adaptiver C2-Server Eines der alarmierendsten Merkmale (C2)-Infrastruktur. Anstatt lediglich exfiltrierte Daten zu hosten, speichert der Angreifer bösartigen Code in GitHub-Repositories und nutzt Commits, die mit dem String „firedalazer" markiert sind, als dynamischen Mechanismus zur Payload-Verteilung.

Dies bedeutet, dass selbst nach dem Blockieren eines Kontos ein weiteres nahtlos übernehmen kann, indem es neue Commits pusht, wodurch die Kampagne hochgradig resilient ist.

OX Security hat zudem zwei unterschiedliche Varianten der Malware identifiziert, die sich durch einen subtilen Unterschied auszeichnen: den String „Miasma: The Spreading Blight" (ohne Leerzeichen nach dem Doppelpunkt) in Stage 3 im Gegensatz zu „Miasma: The Spreading Blight" (mit Leerzeichen) in der alternativen Payload 6.

Technik und Auswirkungen

Diese Detailunterschiede können dazu führen, dass Erkennungstools, die auf exakte String-Matching angewiesen sind, Infektionen übersehen. Red Hat Product Security führt derzeit eine Analyse der Build-Systeme und der Abhängigkeitsverfolgung durch, um zu bestätigen, ob in Produkt-Builds die kompromittierten Paketversionen enthalten waren.

Basierend auf den aktuellen Erkenntnissen ist derzeit keine Kundenseite erforderlich, die Untersuchung läuft jedoch weiterhin.

Organisationen werden aufgefordert, nach bekannten Indikatoren für einen Kompromittierung durch Shai-Hulud zu suchen, einschließlich der Commit-String „firedalazer", mit Miasma zusammenhängender Strings sowie der dokumentierten Verschlüsselungsschlüssel und öffentlichen Schlüsselpaare, die öffentlicht wurden.