蓝点网
·
红帽(RedHat)供应链攻击调查：黑客劫持GitHub账户后发布多个恶意NPM软件包
内容提要
红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户，通过NPM发布恶意软件包。这些软件包利用迷你沙虫变种，窃取开发环境中的敏感凭证，影响多个企业级开发者。
关键要点
-
红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户。
-
黑客利用NPM发布恶意软件包，这些软件包基于迷你沙虫变种，窃取开发环境中的敏感凭证。
-
此次攻击源头是GitHub账户被劫持，黑客通过NPM可信发布机制推送恶意软件包。
-
攻击者绕过了NPM的可信发布机制，利用短期OIDC令牌进行恶意操作。
-
窃取的凭证包括GitHub Actions密钥、AWS访问密钥、GCP默认凭证等多种敏感信息。
延伸解读
供应链攻击的风险
此次红帽公司的供应链攻击揭示了开发环境中潜在的安全隐患。黑客通过劫持GitHub账户，利用NPM的可信发布机制发布恶意软件包，表明即使是经过验证的发布渠道也可能被攻击者利用。企业在使用这些工具时，需加强对账户安全的管理，防止凭证泄露。
可信发布机制的局限性
NPM的可信发布机制旨在提高安全性，但此次事件显示其并非万无一失。攻击者通过短期OIDC令牌绕过了这一机制，说明在设计安全系统时，必须考虑到潜在的攻击路径。开发团队应定期审查和更新安全策略，以应对新出现的威胁。
敏感凭证的保护
此次攻击中，黑客窃取了多种敏感凭证，包括AWS和GCP的访问密钥。企业应采取措施加密存储这些凭证，并限制其访问权限。此外，定期审计和监控凭证的使用情况，可以帮助及时发现异常活动，降低潜在风险。
延伸问答
红帽公司遭遇了什么类型的网络攻击？
红帽公司遭遇了供应链攻击，黑客劫持了工程师的GitHub账户。
黑客是如何利用NPM发布恶意软件包的？
黑客通过劫持GitHub账户，利用NPM的可信发布机制推送恶意软件包。
此次攻击中窃取了哪些类型的敏感凭证？
窃取的凭证包括GitHub Actions密钥、AWS访问密钥、GCP默认凭证等多种敏感信息。
NPM的可信发布机制是如何被绕过的？
攻击者通过盗用短期OIDC令牌获得对CI/CD流水线的访问权限，从而绕过了可信发布机制。
迷你沙虫变种在此次攻击中起到了什么作用？
迷你沙虫变种用于窃取开发环境中的敏感凭证，并尝试进行横向传播。
此次攻击对下游开发者的影响如何？
目前尚不清楚有多少下游开发者受到影响，但被感染的主要是企业级开发者。
