Slow Fog: pacote npm do serviço de nuvem da Red Hat sofre ataques ativos à cadeia de suprimentos, com credenciais roubadas encontradas em mais de 300 repositórios do GitHub

A SlowMist emitiu um alerta de segurança, detectando um ataque ativo à cadeia de suprimentos npm visando pacotes relacionados ao @redhat-cloud-services. Atualmente, mais de 31 pacotes foram confirmados como afetados, com um volume semanal de downloads de aproximadamente 116.000, e credenciais roubadas existem em mais de 300 repositórios do GitHub. Este método de ataque é altamente semelhante ao ataque npm "Shai-Hulud" anterior, incluindo roubo de credenciais, criação de repositórios maliciosos e vazamento automatizado de segredos. Novos repositórios suspeitos continuam a surgir, indicando que o ataque ainda está em andamento e que desenvolvedores continuam sendo infectados.

Os danos potenciais incluem: roubo de tokens do GitHub/npm, vazamento de credenciais de nuvem AWS/GCP/Azure, coleta de chaves SSH e segredos do Kubernetes, vazamento de ambiente local e dados de carteiras, criação de repositórios maliciosos e operações de persistência, e até mesmo ações potencialmente destrutivas após a revogação dos tokens. Recomenda-se remover ou reverter imediatamente as versões afetadas dos pacotes @redhat-cloud-services, realizar uma auditoria abrangente dos fluxos de trabalho de CI/CD e das instalações de dependências, rotacionar todas as chaves relacionadas ao GitHub, npm, serviços de nuvem, SSH e carteiras, manter registros e reconstruir máquinas de desenvolvedores ou Runners expostos a partir de imagens limpas, mantendo um alto nível de vigilância.