L’ultimo episodio a riaccendere le preoccupazioni sulla sicurezza dell’ecosistema open source riguarda Red Hat e una compromissione che ha coinvolto decine di pacchetti pubblicati sul repository npm, trasformati in veicoli per la distribuzione di un malware particolarmente aggressivo specializzato nel furto di credenziali.

La vicenda è emersa grazie alle analisi condotte dalle società di sicurezza Aikido e OX Security, che hanno individuato versioni alterate di oltre trenta pacchetti appartenenti allo spazio di nomi utilizzato da Red Hat per alcuni strumenti di sviluppo. Secondo le prime stime, i pacchetti coinvolti generano complessivamente più di 100.000 download settimanali, un dato che evidenzia immediatamente la portata potenziale dell’incidente.

La scoperta si inserisce in un contesto ormai ben noto agli specialisti di cybersecurity. Gli attacchi alla supply chain software stanno diventando sempre più frequenti perché consentono agli aggressori di colpire indirettamente numerose organizzazioni attraverso componenti considerati affidabili dagli sviluppatori. Invece di attaccare direttamente le infrastrutture aziendali, i criminali modificano librerie, dipendenze o strumenti utilizzati quotidianamente nei processi di sviluppo, sfruttando il rapporto di fiducia esistente tra software e utilizzatori.

Nel caso specifico, Red Hat ha confermato di essere venuta a conoscenza dell’accaduto e di aver provveduto rapidamente alla rimozione dei pacchetti compromessi dal registro npm. L’azienda ha inoltre precisato che le librerie interessate erano destinate esclusivamente a strumenti di sviluppo interni e che il codice malevolo non sarebbe mai stato distribuito ai clienti attraverso i servizi produttivi dell’ecosistema Red Hat.

Pur trattandosi di una precisazione importante, l’episodio resta particolarmente significativo perché mostra quanto possa essere vulnerabile la catena di distribuzione del software anche all’interno di organizzazioni con una lunga esperienza nella gestione di infrastrutture enterprise e progetti open source.

Secondo la ricostruzione fornita dai ricercatori, gli aggressori sarebbero riusciti a compromettere l’account GitHub di un dipendente Red Hat. Una volta ottenuto l’accesso, avrebbero inserito modifiche malevole direttamente all’interno di diversi repository, sfruttando poi meccanismi automatizzati di pubblicazione per distribuire le versioni compromesse dei pacchetti.

L’operazione dimostra una conoscenza approfondita degli strumenti moderni utilizzati nelle pipeline DevOps. Gli attaccanti hanno infatti manipolato workflow automatizzati basati su GitHub Actions per ottenere token temporanei di autenticazione e utilizzarli nella pubblicazione di pacchetti alterati sul registro npm. In pratica, il sistema stesso impiegato dagli sviluppatori per velocizzare la distribuzione del software è stato trasformato in un canale di propagazione del malware.

attacco sistemi informativi

Crediti: Shutterstock

La componente malevola era nascosta all’interno di uno script eseguito automaticamente durante l’installazione dei pacchetti. Questo approccio è particolarmente insidioso perché sfrutta un comportamento considerato normale dall’ecosistema JavaScript. Quando uno sviluppatore installava una delle versioni compromesse, il codice dannoso veniva eseguito senza richiedere ulteriori azioni.

 

Le analisi effettuate da Aikido descrivono un payload estremamente sofisticato e fortemente offuscato, progettato per raccogliere una quantità impressionante di informazioni sensibili. Tra gli obiettivi figurano credenziali AWS, token GitHub Actions, account Google Cloud, credenziali Microsoft Azure, chiavi SSH, token Kubernetes, accessi Docker, certificati GPG, segreti conservati in HashiCorp Vault e file di configurazione contenenti variabili ambientali.

Si tratta di informazioni che rappresentano il vero tesoro per chi conduce operazioni di compromissione avanzata. Rubare credenziali cloud o token di automazione permette infatti di spostarsi rapidamente all’interno delle infrastrutture delle vittime, espandendo il raggio dell’attacco ben oltre il sistema inizialmente compromesso.

I ricercatori hanno identificato almeno 32 pacchetti e quasi cento versioni alterate. Le organizzazioni che potrebbero aver installato una delle release compromesse sono state invitate a procedere immediatamente alla rotazione di tutte le credenziali utilizzate sui sistemi interessati. Una semplice rimozione del software, infatti, non è sufficiente a garantire la sicurezza una volta che segreti e token potrebbero essere già stati esfiltrati.

L’aspetto forse più interessante dell’intera operazione riguarda però il malware utilizzato. Gli esperti lo hanno identificato come una nuova evoluzione della famiglia Shai-Hulud, una minaccia che negli ultimi mesi è stata associata a numerosi attacchi contro progetti open source e organizzazioni tecnologiche di primo piano.

La nuova variante è stata soprannominata Miasma e presenta caratteristiche che suggeriscono una significativa evoluzione rispetto alle versioni precedenti. Pur mantenendo le funzionalità dedicate al furto di credenziali, il malware introduce ulteriori livelli di offuscamento, tecniche più sofisticate di distribuzione del payload e meccanismi avanzati per la raccolta di dati sensibili.

Gli analisti ritengono che questa evoluzione possa essere collegata alla pubblicazione del codice sorgente di Mini Shai-Hulud, una versione semplificata del framework malevolo resa pubblica alcuni mesi fa. La disponibilità del codice avrebbe consentito ad altri gruppi criminali di modificarlo e adattarlo alle proprie campagne, contribuendo alla diffusione di nuove varianti.

La portata del fenomeno appare già significativa. Secondo le informazioni raccolte dai ricercatori, oltre trecento repository GitHub sarebbero stati compromessi nell’ambito della campagna Miasma, a dimostrazione di come gli attacchi alla supply chain stiano assumendo dimensioni sempre più preoccupanti.