A segurança da cadeia de suprimentos de software voltou aos holofotes após a descoberta de um ataque que comprometeu dezenas de pacotes npm mantidos pela Red Hat. O incidente afetou bibliotecas publicadas sob o namespace @redhat-cloud-services e foi utilizado para distribuir um malware especializado no roubo de credenciais de desenvolvedores, ambientes de integração contínua (CI/CD) e serviços em nuvem.
Embora a investigação ainda esteja em andamento, o caso chama atenção por explorar justamente mecanismos modernos criados para tornar o processo de publicação mais seguro.
O que aconteceu?
A descoberta foi divulgada ontem pela empresa de segurança Aikido. Segundo a análise, 32 pacotes diferentes foram comprometidos, afetando um total de 96 versões que acumulavam cerca de 117 mil downloads semanais. O código malicioso foi inserido em pacotes utilizados por serviços de nuvem da Red Hat e distribuído por meio de um script executado automaticamente durante a instalação via npm.
O malware recebeu o nome de Miasma e apresenta fortes semelhanças com o Mini Shai-Hulud, uma família de malware voltada para ataques à cadeia de suprimentos que já esteve envolvida em incidentes recentes contra projetos conhecidos do ecossistema open source.
O ataque utilizava um recurso legítimo do npm chamado preinstall. Esse tipo de script é executado automaticamente quando um usuário instala um pacote. Em condições normais, ele pode ser usado para preparar dependências ou realizar verificações necessárias antes da instalação.
No caso dos pacotes comprometidos, porém, o script era utilizado para iniciar um arquivo JavaScript altamente ofuscado que continha o malware. Isso significa que a execução acontecia antes mesmo da aplicação ser iniciada, muitas vezes sem qualquer sinal visível para o desenvolvedor.
Segundo os pesquisadores da Aikido, o objetivo principal era coletar credenciais e segredos armazenados em ambientes de desenvolvimento e automação. Entre os alvos identificados estavam:
- Tokens do GitHub Actions;
- Credenciais da AWS, Google Cloud e Microsoft Azure;
- Tokens do HashiCorp Vault;
- Configurações e credenciais do Kubernetes;
- Tokens de publicação do npm e PyPI;
- Chaves SSH privadas;
- Credenciais de registros Docker;
- Chaves GPG;
- Arquivos .env contendo variáveis sensíveis.
Em outras palavras, qualquer sistema onde esses pacotes fossem instalados poderia expor informações suficientes para comprometer pipelines de desenvolvimento inteiros.
O detalhe mais preocupante
Tradicionalmente, invasores procuram roubar tokens permanentes utilizados para publicar novas versões de pacotes. Nesse caso, porém, os pacotes eram distribuídos usando o sistema de Trusted Publishing do npm, baseado em autenticação OIDC do GitHub Actions. Esse modelo foi criado justamente para eliminar a necessidade de armazenar tokens de publicação de longo prazo.
A investigação aponta que os invasores não roubaram credenciais do npm. Em vez disso, teriam comprometido uma conta GitHub associada aos projetos da Red Hat e utilizado esse acesso para inserir alterações maliciosas diretamente nos repositórios. A partir daí, os próprios pipelines legítimos publicaram as versões comprometidas.
O episódio demonstra uma realidade cada vez mais comum: proteger apenas as credenciais de publicação não é suficiente quando o ambiente de CI/CD se torna o alvo principal dos ataques.
Resposta da Red Hat
Em seu boletim de segurança RHSB-2026-006, a Red Hat confirmou que uma conta GitHub comprometida foi utilizada para introduzir código malicioso em repositórios da organização.
A empresa informou que as versões afetadas já foram removidas do npm e que equipes de engenharia e segurança continuam analisando os sistemas de build para verificar se alguma compilação de produtos incorporou os pacotes comprometidos.
Até o momento, a Red Hat afirma não haver evidências de impacto direto para clientes nem a necessidade de ações imediatas relacionadas ao Red Hat Enterprise Linux.
A empresa também destacou que o incidente envolve bibliotecas JavaScript utilizadas em serviços de nuvem e não afeta o sistema operacional em si.
O que desenvolvedores devem fazer?
Para equipes que instalaram versões afetadas dos pacotes após 1º de junho de 2026, a recomendação dos pesquisadores é tratar qualquer credencial presente nesses ambientes como potencialmente comprometida.
Isso inclui:
- Rotação de tokens de CI/CD;
- Renovação de credenciais de provedores de nuvem;
- Troca de chaves SSH;
- Revogação de tokens npm e PyPI;
- Revisão de logs de build e pipelines automatizados;
- Auditoria de dependências e arquivos de lock.
Também é aconselhável verificar imagens de contêiner, artefatos gerados e estações de trabalho onde os pacotes foram instalados.
O caso da Red Hat é apenas o mais recente de uma sequência de ataques semelhantes registrados nos últimos meses. Incidentes envolvendo projetos ligados ao Bitwarden, SAP, PyTorch Lightning, Microsoft e outros nomes conhecidos demonstram que a cadeia de suprimentos se tornou um dos principais campos de batalha da segurança moderna.
Fique por dentro das principais novidades da semana sobre tecnologia e Linux: receba nossa newsletter!