Red Hat 旗下多個 npm 套件遭植入 4.2MB 惡意預裝腳本，自走蟲能繞過 2FA 自主再發布

資安公司 StepSecurity 於 2026 年 6 月 1 日揭露，Red Hat 旗下 @redhat-cloud-services 範圍的多個 npm 套件遭植入會在每次 npm install 自動執行的惡意 payload，總計約 30 個套件、超過 60 個版本受到影響。這個 preinstall 腳本檔案大小高達 4.2 MB，正常函式庫腳本頂多幾 KB，明顯異常；外部分析顯示惡意程式以四層混淆包裝真實酬載，包括 ROT-21 凱撒密碼、AES-128-GCM、改造版 obfuscator.io、以及自製 B5 加密（PBKDF2 跑 20 萬輪），靜態分析幾乎無法還原。技術上最值得警惕的兩點：一是直接讀取 /proc//mem 把 Runner.Worker 行程記憶體中的 GITHUB_TOKEN 與其他 isSecret 變數整包撈出，連 GitHub 預設的 log masking 都會被繞過；二是它會用盜來的 npm token 搭配 bypass_2fa 參數，把受害維護者底下其他套件以「含木馬的新版本」形式重新發布，等同具備 2FA 防護的帳號也會被當成下一波散播節點，攻擊完全自主、攻擊者不必介入。所有受影響套件都是從 RedHatInsights/javascript-clients repo 透過 GitHub Actions OIDC 發布，代表上游 CI/CD pipeline 本身已被入侵，不是單純開發者電腦遭殃。StepSecurity 已同步於三個上游 repo 開立揭露 issue，C2 流量刻意走 api.github.com、User-Agent 偽裝為 python-requests/2.31.0，網路層完全與正常 GitHub API 呼叫無法區分；除了直接 HTTPS 外洩，部分樣本還會用 GitHub Contents API 在受害者自己的 repo 內建立 refs / commit 藏 base64 編碼的贓資料，exfil 通道幾乎藏身在 CI 普遍放行的 GitHub 流量中。凡是裝過任何受影響版本 @redhat-cloud-services/* 的人，StepSecurity 明確建議把整台機器視同淪陷，AWS、GCP、Azure、Kubernetes、HashiCorp Vault、npm、與 CircleCI 等所有曾出現在該機器的 token 都要立即 rotate，不要只換 npm token。本次事件也讓業界重新檢視一個老問題：當 CI 採用 OIDC 自動發套件時，攻擊鏈只要能寫入 pipeline，整個套件生態就會被污染。