Slow Fog: El paquete npm del servicio en la nube de Red Hat sufre ataques activos a la cadena de suministro, con credenciales robadas halladas en más de 300 repositorios de GitHub

SlowMist ha emitido una alerta de seguridad tras detectar un ataque activo a la cadena de suministro de npm dirigido a paquetes relacionados con @redhat-cloud-services. Actualmente, se ha confirmado que más de 31 paquetes están afectados, con un volumen de descarga semanal de aproximadamente 116.000 veces, y existen credenciales robadas en más de 300 repositorios de GitHub. Este método de ataque es muy similar al ataque npm "Shai-Hulud" anterior, e incluye el robo de credenciales, la creación de repositorios maliciosos y la filtración automatizada de secretos. Siguen apareciendo nuevos repositorios sospechosos, lo que indica que el ataque continúa y los desarrolladores siguen siendo infectados de forma constante.

Los posibles daños incluyen: robo de tokens de GitHub/npm, filtración de credenciales en la nube de AWS/GCP/Azure, recopilación de claves SSH y secretos de Kubernetes, filtración de datos del entorno local y de carteras, creación de repositorios maliciosos y operaciones de persistencia, e incluso acciones potencialmente destructivas tras la revocación de los tokens. Se recomienda eliminar o degradar inmediatamente las versiones afectadas de los paquetes de @redhat-cloud-services, realizar una auditoría exhaustiva de los flujos de trabajo de CI/CD y de las instalaciones de dependencias, rotar todas las claves relacionadas con GitHub, npm, servicios en la nube, SSH y carteras, conservar los registros y reconstruir las máquinas de desarrollo o Runners expuestos a partir de imágenes limpias, manteniendo al mismo tiempo un alto nivel de vigilancia.