Malware em pacotes @redhat-cloud-services mira tokens GitHub e credenciais cloud durante instalações.
Dezenas de pacotes npm oficiais da Red Hat, no escopo @redhat-cloud-services, foram comprometidos em um ataque de cadeia de suprimentos. O malware identificado é o Miasma, variante do Mini Shai-Hulud, com foco em roubar credenciais GitHub, tokens e chaves de ambientes AWS, GCP e Azure durante instalações.
O incidente envolve dezenas de pacotes npm oficiais da Red Hat, publicados sob o escopo @redhat-cloud-services. O npm é o repositório de pacotes mais utilizado por desenvolvedores JavaScript e Node.js — componentes dali são consumidos diariamente em projetos corporativos, pipelines de CI/CD e ferramentas internas. Quando um desses pacotes é comprometido, o ataque chega embalado em algo que a equipe já confia.
O malware identificado é o Miasma, descrito como variante do Mini Shai-Hulud. Seu objetivo declarado é capturar credenciais GitHub, tokens técnicos e chaves de acesso aos ambientes AWS, GCP e Azure durante o processo de instalação. A combinação — nome confiável, momento silencioso da instalação e alvos de alto valor — torna este caso particularmente crítico para times de engenharia e segurança.
O ponto de exploração é a instalação em si. Pacotes npm podem declarar scripts que executam automaticamente durante o npm install — e é exatamente aí que o Miasma atua. Antes que qualquer desenvolvedor perceba, o código malicioso já varreu o ambiente em busca de tokens e chaves disponíveis.
Na prática, isso afeta máquinas de desenvolvimento, servidores de build e pipelines de integração contínua. O impacto é proporcional às permissões disponíveis no momento da instalação: quanto mais amplo o acesso do token GitHub ou da credencial AWS, GCP ou Azure presente no ambiente, maior o raio de danos de uma eventual exfiltração.
Times que instalaram pacotes do escopo @redhat-cloud-services devem tratar este alerta como prioridade imediata. Alguns indicadores merecem atenção especial:
.env ou configurações de pipeline.A prioridade é tratar como comprometidos todos os tokens e credenciais que estavam disponíveis nos ambientes onde esses pacotes foram instalados. Não aguarde confirmação de vazamento para agir — o custo de revogar e recriar um token é infinitamente menor do que remediar um acesso não autorizado em produção.
.env versionados e variáveis desnecessárias em pipelines.É o malware identificado neste incidente, descrito como variante do Mini Shai-Hulud. Neste contexto, atua durante instalações npm para capturar credenciais GitHub e tokens de ambientes AWS, GCP e Azure disponíveis no ambiente de instalação.
Empresas e desenvolvedores que instalaram pacotes npm do escopo @redhat-cloud-services, especialmente em ambientes que concentram tokens GitHub ou credenciais de AWS, GCP e Azure com permissões amplas.
Não totalmente. Os alvos principais são tokens e credenciais técnicas, não senhas de usuário. A ação mais efetiva é revogar e recriar esses acessos, revisar permissões e auditar os ambientes onde as instalações ocorreram.
A LC SEC ajuda sua equipe a identificar dependências de risco, revisar exposição de tokens e fortalecer controles em ambientes de desenvolvimento e cloud.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io