Slow Fog: Pacote npm do serviço cloud da Red Hat sofre ataques ativos à cadeia de abastecimento, com credenciais roubadas encontradas em mais de 300 repositórios GitHub

A SlowMist emitiu um alerta de segurança, detetando um ataque ativo à cadeia de abastecimento npm direcionado a pacotes relacionados com @redhat-cloud-services. Atualmente, mais de 31 pacotes foram confirmados como afetados, com um volume de downloads semanal de aproximadamente 116.000, e existem credenciais roubadas em mais de 300 repositórios GitHub. Este método de ataque é altamente semelhante ao ataque npm "Shai-Hulud" anterior, incluindo roubo de credenciais, criação de repositórios maliciosos e fuga automatizada de segredos. Continuam a surgir novos repositórios suspeitos, indicando que o ataque ainda está em curso e que os programadores continuam a ser infetados.

Os danos potenciais incluem: roubo de tokens GitHub/npm, fuga de credenciais de cloud AWS/GCP/Azure, recolha de chaves SSH e segredos Kubernetes, fuga de dados de ambiente local e de carteiras, criação de repositórios maliciosos e operações de persistência, e até ações potencialmente destrutivas após a revogação dos tokens. Recomenda-se a remoção ou desatualização imediata das versões afetadas dos pacotes @redhat-cloud-services, a realização de uma auditoria abrangente aos fluxos de trabalho de CI/CD e às instalações de dependências, a rotação de todas as chaves relacionadas com GitHub, npm, serviços cloud, SSH e carteiras, a retenção de registos e a reconstrução de máquinas de programadores ou Runners expostos a partir de imagens limpas, mantendo um elevado nível de vigilância.