Slow Fog: el paquete npm del servicio en la nube de Red Hat sufre ataques activos a la cadena de suministro, con credenciales robadas halladas en más de 300 repositorios de GitHub

SlowMist ha emitido una alerta de seguridad tras detectar un ataque activo a la cadena de suministro de npm dirigido a paquetes relacionados con @redhat-cloud-services. Actualmente, se confirmó que más de 31 paquetes están afectados, con un volumen de descargas semanal de aproximadamente 116.000, y existen credenciales robadas en más de 300 repositorios de GitHub. Este método de ataque es altamente similar al ataque previo de npm "Shai-Hulud", incluyendo el robo de credenciales, la creación de repositorios maliciosos y la filtración automatizada de secretos. Siguen apareciendo nuevos repositorios sospechosos, lo que indica que el ataque continúa y los desarrolladores siguen siendo infectados de forma constante.

Los daños potenciales incluyen: robo de tokens de GitHub/npm, filtración de credenciales en la nube de AWS/GCP/Azure, recopilación de claves SSH y secretos de Kubernetes, filtración de datos del entorno local y de billeteras, creación de repositorios maliciosos y operaciones de persistencia, e incluso acciones potencialmente destructivas tras la revocación de los tokens. Se recomienda eliminar o degradar de inmediato las versiones afectadas de los paquetes de @redhat-cloud-services, realizar una auditoría integral de los flujos de trabajo de CI/CD y las instalaciones de dependencias, rotar todas las claves de GitHub, npm, servicios en la nube, SSH y relacionadas con billeteras, conservar los registros y reconstruir las máquinas de desarrollo o Runners expuestos a partir de imágenes limpias, manteniendo un alto nivel de vigilancia.