【安全圈】紧急！Red Hat 30+npm包被植Miasma病毒：密钥窃取危机来袭，开发者需立即行动

安全圈

2026年6月2日 19:00
江苏

在小说阅读器读本章

去阅读

关键词

漏洞

安全圈6月2日消息，一场足以载入史册的“核弹级”供应链攻击事件在凌晨引爆。科技媒体Bleepingcomputer昨日独家披露，Red Hat名下@redhat-cloud-services命名空间中，超过30个核心npm包被黑客组织植入了一款名为“Miasma”（毒雾/迷雾）的恶意后门。这款Shai-Hulud病毒的新变种正以惊人的速度扩散，专门针对开发者的“命根子”——各类云密钥、SSH密钥及CI/CD凭证进行无差别收割。目前，Red Hat已紧急启动一级响应，全网下架相关恶意组件。

此次攻击波及范围极广，据安全公司Aikido统计，遭篡改的npm包每周下载量高达11.7万次。受影响的不仅是普通开发者，Red Hat内部的多个关键开发工具链也已沦陷。幸运的是，Red Hat在声明中紧急澄清：现有证据表明，此次攻击目前仅限于内部开发工具，恶意代码并未通过面向客户的生产环境（如console.redhat.com）发布，这为无数悬着心的企业客户吃下了一颗“定心丸”。

然而，攻击手法的狡猾程度仍令人不寒而栗。安全机构OX Security与Aikido联合披露，黑客并未直接攻击Red Hat的服务器，而是采用了“擒贼先擒王”的战术——先通过某种手段入侵了一名Red Hat员工的GitHub账户，随后利用该员工的权限向多个官方仓库直接推送恶意代码。

在这套精心设计的攻击链中，黑客滥用GitHub Actions工作流和npm的发布机制，构建了一个自动化作恶的闭环：

潜伏与伪装：当开发者或自动化流程运行相关包时，恶意工作流会被触发，安装Bun运行时并执行_index.js。
权限提权：脚本利用GitHub的id-token:write权限，悄无声息地申请短期OIDC Token，以此冒充合法身份连接npm的trusted publishing端点。
疯狂收割：最终释放的4.2MB恶意载荷如同一个贪婪的“吸血鬼”，一旦激活，便会扫描并窃取包括GitHub Actions Secrets、AWS/Google Cloud/Azure云凭证、Kubernetes服务账户Token、npm/PyPI发布Token、SSH密钥、Docker凭据以及

.env环境文件在内的几乎所有敏感信息。

Aikido安全研究员痛心地指出，这款名为“Miasma”的变种虽然基于此前臭名昭著的Shai-Hulud框架，但其在代码混淆、多阶段载荷投递以及数据窃取能力上有了质的飞跃。它不仅继承了前辈的隐蔽性，更增加了针对现代云原生环境的专项窃取模块。

截至目前，全球已有至少309个GitHub仓库被检测出与Miasma活动存在关联。这波攻击浪潮延续了近期针对开源生态的供应链攻击趋势，继Bitwarden、OpenAI、GitHub等巨头相继“中招”后，Red Hat的沦陷再次为全球开发者敲响了警钟。

Red Hat官方已确认从npm注册表中移除受影响包，并呼吁所有近期使用过相关内部工具的组织立即行动：立刻轮换所有相关的凭据、密钥和Token！ 在这场看不见硝烟的战争中，时间就是安全的生命线。

END

阅读推荐

【安全圈】泪目！停更三年，天涯今日回归！结果……服务器直接被“挤爆”了！

【安全圈】紧急！紧急！2026年首个“核弹级”漏洞爆发！你的网站正在裸奔，请立即更新！

【安全圈】警告！Palo Alto VPN重大漏洞正在被疯狂利用！你的企业内网可能已经“裸奔”！

【安全圈】警惕！ChatGPT共享链接竟成黑客新宠，你的下载安全吗？