Slow Fog : le package npm du service cloud de Red Hat victime d'attaques actives sur la chaîne d'approvisionnement, des identifiants volés retrouvés dans plus de 300 dépôts GitHub
SlowMist a émis une alerte de sécurité après avoir détecté une attaque active sur la chaîne d'approvisionnement npm ciblant les packages liés à @redhat-cloud-services. Actuellement, plus de 31 packages sont confirmés comme étant affectés, avec un volume de téléchargement hebdomadaire d'environ 116 000, et des identifiants volés sont présents dans plus de 300 dépôts GitHub. Cette méthode d'attaque est très similaire à la précédente attaque npm « Shai-Hulud », incluant le vol d'identifiants, la création de dépôts malveillants et la fuite automatisée de secrets. De nouveaux dépôts suspects continuent d'apparaître, indiquant que l'attaque est toujours en cours et que les développeurs continuent d'être infectés.
Les dommages potentiels incluent : le vol de jetons GitHub/npm, la fuite d'identifiants cloud AWS/GCP/Azure, la collecte de clés SSH et de secrets Kubernetes, la fuite de données d'environnement local et de portefeuilles, la création de dépôts malveillants et des opérations de persistance, voire des actions potentiellement destructrices après la révocation des jetons. Il est recommandé de supprimer ou de rétrograder immédiatement les versions affectées des packages @redhat-cloud-services, de procéder à un audit complet des flux de travail CI/CD et des installations de dépendances, de renouveler toutes les clés GitHub, npm, de services cloud, SSH et liées aux portefeuilles, de conserver les journaux et de reconstruire les machines de développement ou les Runners exposés à partir d'images saines, tout en maintenant un haut niveau de vigilance.



