Red Hatの公式npmチャンネルを通じて数十個のパッケージにバックドアが仕込まれていたと判明

Red Hat公式のnpmチャンネル「@redhat-cloud-services」配下の複数パッケージが侵害され、開発者の認証情報を盗むワーム型マルウェアが配布されていたことが明らかになりました。セキュリティ企業のAikidoによると影響を受けたのは32パッケージの計96バージョンで、合計で週11万6991回ダウンロードされていたとのことです。

Red Hat npm Packages Compromised to Spread a Credential-Stealing Worm
https://www.aikido.dev/blog/red-hat-npm-packages-compromised-credential-stealing-worm

Red Hat npm packages compromised to steal developer credentials
https://www.bleepingcomputer.com/news/security/red-hat-npm-packages-compromised-to-steal-developer-credentials/

Dozens of Red Hat packages backdoored through its official NPM channel - Ars Technica
https://arstechnica.com/security/2026/06/dozens-of-red-hat-packages-backdoored-through-its-offical-npm-channel/

問題のマルウェアは「Miasma」と呼ばれ、以前からnpmなどのソフトウェアサプライチェーン攻撃で使われてきた「Mini Shai-Hulud」に似た特徴を持っています。今回の攻撃は単にnpmの公開用トークンが盗まれたのではなく、GitHub Actions OIDCを使った公開フローが悪用されたとみられており、Aikidoは「Red Hat従業員のGitHubアカウントが侵害され、攻撃者が複数のリポジトリにコードレビューを回避する形で悪意ある孤立コミットを直接投入した」と説明しています。

攻撃者はRed Hatの開発用リポジトリに、パッケージ公開処理を自動実行する不正なGitHub Actionsの設定ファイルを追加しました。この処理は、GitHubから短時間だけ有効な認証情報を取得し、それを使ってnpmの公式な公開経路からバックドア入りパッケージを登録する仕組みだったため、見かけ上は正規の手順で公開されたように見えてしまいます。

侵害されたパッケージには、インストール時に自動で実行される仕組みが組み込まれていました。つまり、開発者がそのパッケージを実際にプログラム内で使う前でも、npm installを実行した時点やCIで依存関係を導入した時点で悪意あるコードが動いてしまう可能性があったというわけです。

実行される悪意あるファイルは約4.2MBの大きなJavaScriptで、何重にも難読化されていました。このファイルは、GitHub Actionsのシークレット、AWSやGoogle Cloud、Azureの認証情報、SSH秘密鍵、npmやPyPIの公開トークン、Docker認証情報、.envファイルなど、開発環境やクラウド環境で使われる重要な情報を幅広く探すように作られていました。

盗み出された認証情報は暗号化されたうえで外部に送信されます。さらに、このワームは感染した環境がアクセスできる別のパッケージやリポジトリにもバックドアを仕込もうとするため、1つの開発環境の侵害が別のプロジェクトへの攻撃につながる危険があります。

Miasmaは、これまで複数のサプライチェーン攻撃で使われてきたMini Shai-Huludに似た性質を持つマルウェアです。ただし、今回使われたものは追加の難読化や多段階の実行処理、より強化された認証情報の収集機能を備えていたとみられており、単なるコピーではなく改変された派生版である可能性があります。

Red Hatは問題を把握した後に調査を開始し、影響を受けたパッケージをnpmレジストリから削除したと説明しています。同社によると問題のパッケージは社内開発向けに限られており、console.redhat.comを通じて顧客向けに公開されたものではなく、現時点で顧客やパートナー環境、Red Hatの本番システムへの影響は確認されていないとのことです。

一方で、影響を受けたパッケージをインストールした可能性がある場合は、開発端末やCI/CD環境が侵害された前提で対応する必要があるとのこと。AikidoはCIのシークレット、クラウド認証情報、SSH鍵、npmトークンなどを直ちにローテーションするように呼びかけています。