Un atacante comprometió decenas de paquetes npm oficiales de Red Hat y los usó para colar Miasma, una variante de Shai-Hulud centrada en robar credenciales. El código se ejecuta durante la instalación, afecta sobre todo a entornos de desarrollo y CI/CD, y puede facilitar que el ataque se propague mediante permisos de publicación.
Un atacante comprometió más de 30 paquetes npm asociados a Red Hat en el espacio de nombres @redhat-cloud-services y los modificó para distribuir Miasma, una variante de Shai-Hulud orientada al robo de credenciales. La campaña, detectada a partir de publicaciones manipuladas en el registro, se concentra en equipos de desarrollo y en runners de CI/CD, justo donde suelen vivir los secretos con más valor.
El truco está en un detalle incómodo del ecosistema: los scripts de instalación. Los paquetes alterados añadieron un preinstall que ejecuta un payload ofuscado durante npm install o npm ci, antes incluso de que el software llegue a arrancar. Esto cambia el modelo mental de muchos equipos: no hace falta ‘usar’ la dependencia en producción para quedar expuesto, basta con resolver e instalar una versión afectada.
Los análisis apuntan a 32 paquetes y 96 versiones señaladas como maliciosas, aunque la lista exacta varía por componente. Una vez activo, Miasma busca y exfiltra credenciales típicas del día a día de un desarrollador y de una pipeline: tokens de GitHub, credenciales cloud, tokens de CI, claves SSH, tokens de publicación de npm y PyPI, credenciales de Docker, claves GPG y ficheros .env. El objetivo no se limita al robo puntual. Si el entorno comprometido tiene permisos para publicar, el atacante puede intentar expandirse a otros proyectos reutilizando esa capacidad.
La vía de publicación también deja lecciones. La campaña se apoya en GitHub Actions y en el permiso id-token: write para obtener un token OIDC de corta duración, luego canjeado en el endpoint de publicación confiable de npm. Este enfoque reduce la necesidad de almacenar un token estático de npm en secretos, pero también abre una puerta si alguien cuela un workflow malicioso en el repositorio. En este caso, hay indicios de compromiso de una cuenta de GitHub de un empleado y de commits que introdujeron workflows y scripts para automatizar la publicación de versiones troyanizadas.
Red Hat retiró los paquetes afectados del registro y sostiene que el alcance se limitó a tooling interno, sin evidencias de impacto en clientes, socios ni sistemas de producción de la compañía, mientras la investigación sigue abierta. No consta una asignación de CVE para el incidente, que se está siguiendo mediante avisos y análisis de plataformas de seguridad.
Para equipos que dependan de @redhat-cloud-services, el consejo es tratar cualquier instalación desde el 1 de junio de 2026 como potencial incidente. Conviene buscar dependencias en package-lock.json, pnpm-lock.yaml y yarn.lock, fijar versiones conocidas como seguras y regenerar lockfiles para evitar resolver versiones afectadas. Si una workstation o un runner instaló una de esas versiones, la prioridad pasa por contención del host y rotación urgente de secretos, empezando por tokens de npm y GitHub, claves SSH y, después, credenciales cloud y tokens de CI/CD.
También toca revisar organizaciones y repositorios en GitHub en busca de workflows inesperados, especialmente los que pidan id-token: write, además de auditar logs de CI y del registro npm por publicaciones no autorizadas. Y, a medio plazo, endurecer pipelines: limitar permisos en GitHub Actions, acotar el uso de OIDC a ramas y workflows concretos, exigir protecciones de rama y combinar verificación de procedencia con controles de comportamiento y políticas prudentes al adoptar versiones nuevas.
Más información
- BleepingComputer – Red Hat npm packages compromised to steal developer credentials : https://www.bleepingcomputer.com/news/security/red-hat-npm-packages-compromised-to-steal-developer-credentials/
- Ars Technica – Dozens of Red Hat packages backdoored through its offical NPM channel : https://arstechnica.com/security/2026/06/dozens-of-red-hat-packages-backdoored-through-its-offical-npm-channel/
- Snyk – Miasma supply chain attack: malicious code found in @redhat-cloud-services npm packages : https://snyk.io/blog/miasma-supply-chain-attack-malicious-code-redhat-cloud-services-npm-packages/
Deja una respuesta