红帽官方NPM渠道遭入侵，数十个软件包被植入后门

红帽官方NPM账号遭黑客入侵，并被用于传播恶意蠕虫病毒。该病毒可在机器之间自我扩散，并在此过程中窃取敏感凭证，进而获取更多机密数据。安全研究人员对此发出警告。

据安全公司Aikido的研究人员介绍，此次供应链攻击于本周一开始，在本文发布时仍处于活跃状态。攻击者控制了NPM仓库中的合法频道@redhat-cloud-services，该频道专用于发布红帽官方软件包，因此受到众多依赖红帽云服务的开发者的高度信任。

目前尚不清楚攻击者具体是如何控制该命名空间的，但几乎可以确定涉及对访问凭证的窃取，并且可能源于此前的一次供应链攻击。受影响的软件包数量超过30个。

这些软件包在npm安装过程中会执行一段经过混淆处理的恶意代码，而这一过程发生在开发者将软件包引入生产环境之前。安全公司Socket对该恶意软件进行分析后发现，其设计目的是收集敏感凭证，包括GitHub Actions密钥、npm令牌、Kubernetes及Vault相关数据，以及其他云服务的访问凭证。蠕虫病毒随后会通过将携带后门的软件包重新发布至受感染设备可访问的第三方账号来实现自我扩散。事件发生后数小时内，大部分（但非全部）受影响的软件包已被下架。

Socket研究人员表示："各组织应将任何安装过受影响版本@redhat-cloud-services软件包的系统视为已遭入侵。由于恶意代码在npm安装阶段执行，早于应用程序代码的引入和使用，因此风险暴露取决于安装或CI流程的执行，而非运行时的使用情况。"

系统一旦被感染，恶意软件便会对凭证进行加密并通过网络请求将其传输出去。此外，该恶意软件还内置了一套备用机制，可在掌握相关凭证的情况下，将加密数据发布至已被攻击者控制的GitHub仓库。

这一蠕虫病毒被命名为Shai-Hulud，具备上个月以开源形式公开发布的恶意软件的全部特征。TeamPCP是最早使用Shai-Hulud的组织，并曾发起竞赛，承诺向利用该恶意软件实施最大规模供应链攻击的黑客支付1000美元奖金。TeamPCP此前还策划了一系列供应链攻击事件。随着该蠕虫病毒已流入更多威胁组织手中，供应链攻击的规模可能进一步扩大。

该恶意软件对CI/CD（持续集成/持续交付）系统给予了特别关注。CI/CD系统通过自动化代码的构建、测试和部署流程，实现更快速、更可靠的软件发布。本次攻击中，恶意软件通过GitHub Actions OIDC（OpenID Connect）进行传播，表明红帽的CI/CD流水线已遭入侵。OIDC是一种安全机制，旨在通过临时凭证与云服务进行安全交互。

恶意软件安装后，会进一步攻击其他组织的CI/CD凭证。红帽GitHub Actions OIDC遭到入侵，极有可能是由此前一次供应链攻击感染了内部员工设备所致。

在本文发布后，红帽公司通过邮件表示已将恶意软件包全部下架。

红帽在邮件中表示："这些软件包严格限于内部开发使用，恶意代码从未通过console.redhat.com系统向客户发布。尽管调查仍在进行中，我们目前尚未发现任何客户、合作伙伴环境或红帽生产系统受到影响。"

鉴于近期多起供应链攻击事件的严重后果，任何在过去36小时内接触过上述受影响软件包的人员或组织，都应默认其工作站、CI/CD流水线以及所有云服务和代码仓库的凭证已遭泄露。这意味着相关人员应立即停止手头工作，展开全面排查。

在近期针对Checkmarx的供应链攻击中，该安全公司未能彻底清除攻击者，随后又遭受了两次攻击。Checkmarx首次遭攻击所用的凭证，源于一次针对Trivy软件开发商的供应链攻击。这种层层传导的攻击链，以及Checkmarx未能彻底修复初始漏洞的教训，充分说明了从此类安全事件中完全恢复的难度，以及由此带来的持续风险。

Socket和Aikido均已公布受影响的红帽软件包列表及其他入侵指标，所有可能受影响的个人或组织应立即参考使用。

Q&A

Q1：Shai-Hulud蠕虫病毒是什么？它是如何传播的？

A：Shai-Hulud是一种恶意蠕虫病毒，具备上个月以开源形式公开发布的恶意软件的全部特征。它通过NPM软件包在安装阶段执行混淆代码，窃取GitHub Actions密钥、npm令牌、Kubernetes及云服务凭证等敏感信息，并将携带后门的软件包重新发布至受感染设备可访问的第三方账号，从而实现自我扩散。

Q2：红帽NPM账号被入侵后，哪些系统会受到影响？

A：任何在过去36小时内安装过受影响版本@redhat-cloud-services软件包的系统都可能已遭入侵。由于恶意代码在npm安装阶段就会执行，因此暴露风险与安装或CI流程的执行有关，而非取决于运行时的使用。受影响范围包括工作站、CI/CD流水线，以及所有云服务和代码仓库的访问凭证。

Q3：开发者或组织应该如何应对此次红帽NPM供应链攻击？

A：首先，应立即停止当前工作，排查是否安装过受影响的@redhat-cloud-services软件包。其次，参考Socket和Aikido公布的受影响软件包列表及入侵指标，核查系统状态。同时，应将所有云服务凭证、npm令牌、GitHub密钥等视为已泄露，并进行轮换更新，全面检查CI/CD流水线是否存在异常。