Червь Shai-Hulud скомпрометировал официальные npm-пакеты Red Hat

Инфраструктура публикации пакетов @redhat-cloud-services оказалась скомпрометирована. Злоумышленники внедрили новый вариант червя Shai-Hulud в десятки официальных библиотек — атака на цепочку поставок, которая затрагивает корпоративные проекты по всему миру.

Специалисты по информационной безопасности обнаружили, что неизвестные атакующие получили доступ к системе публикации npm-пакетов Red Hat. Скомпрометированы библиотеки из области @redhat-cloud-services — модули, которые используются в корпоративных облачных решениях.

Вектор атаки — классическая компрометация цепочки поставок. Злоумышленники не взламывали конечные системы напрямую, а внедрили вредоносный код в доверенные пакеты. Разработчики устанавливают обновления через npm install, получают зараженные зависимости и разворачивают их в производственной среде.

Исследователи идентифицировали зловреда как новую модификацию червя Shai-Hulud под кодовым названием Miasma. Оригинальный Shai-Hulud известен с 2023 года и специализируется на заражении экосистем JavaScript и Python через публичные репозитории пакетов.

Miasma отличается более изощренной маскировкой. Вредоносный код встраивается в легитимные функции библиотек, активируется при определенных условиях запуска и умеет обходить базовые системы статического анализа. Цель — долговременное присутствие в инфраструктуре с возможностью эксфильтрации данных и выполнения произвольного кода.

Проблема в масштабе. Red Hat — один из крупнейших поставщиков корпоративного открытого ПО. Пакеты @redhat-cloud-services используются в системах управления облачной инфраструктурой, мониторинга, оркестрации. Компрометация таких зависимостей означает потенциальный доступ атакующих к критичным корпоративным данным и системам.

- Разработчикам нужно аудировать зависимости проектов и откатиться на проверенные версии пакетов

- Техническим директорам — оценить риски в действующих сборках и запустить проверку логов на предмет подозрительной активности

- Службам безопасности — усилить контроль цепочки поставок через Software Bill of Materials и автоматические сканеры уязвимостей

1. Проверить package.json и lock-файлы на наличие пакетов из области @redhat-cloud-services. Если используете — заморозить версии до официального патча.

2. Запустить сканирование зависимостей инструментами типа npm audit, Snyk или Dependabot. Искать аномалии в поведении установленных библиотек.

3. Пересмотреть процесс обновления зависимостей. Автоматическое принятие всех обновлений без ревью — путь к таким инцидентам.

4. Внедрить политику проверки целостности пакетов через контрольные суммы и подписи релизов.

Атаки на цепочку поставок становятся индустриальным стандартом. SolarWinds, Codecov, event-stream в npm — паттерн повторяется. Вопрос не в том, случится ли это с вашими зависимостями, а когда. Защита строится на трех китах: непрерывный мониторинг, быстрое реагирование и культура недоверия к автоматическим обновлениям без проверки.

Как вы организуете контроль зависимостей в своих проектах? Автоматизация или ручная проверка критичных обновлений?

—

[ВКонтакте](https://vk.com/ciologia)

[Одноклассники](https://ok.ru/group/70000049644223)

[Дзен](https://dzen.ru/ciologia)

[Сетка](https://setka.ru/users/4e7ada8b-279e-41e9-846d-291aa630d204)

[Telegram](https://t.me/CIOlogia)

[Habr](https://habr.com/ru/users/CIOlogia/posts/)

[TenChat](https://tenchat.ru/ciologia)

[LinkedIn](https://www.linkedin.com/in/vladislav-prokopovich-bb808376/)