Harness（ハーネス）は最新の技術ブログにおいて、2026年6月1日に発覚したRed Hatのnpm名前空間（@redhat-cloud-services）に対する深刻なサプライチェーン攻撃のインシデント分析を公開した。この攻撃は「Shai-Hulud Miasma（シャイ＝フルード・ミアズマ）」と名付けられたマルチステージ型のマルウェアワームによるもので、32個の公式パッケージと96のバージョンが汚染され、認証情報を窃取する不正なコードが埋め込まれた。Harnessは、信頼された開発パイプラインそのものがマルウェアの配信チャネルへと悪用された手口と、その独自の隠蔽工作および有効な対策について詳しく解説している。
攻撃者は、Red Hat従業員のGitHubアカウントを乗っ取ることで内部リポジトリーに直接アクセスし、コードレビューを回避する特殊なコミットを挿入した。さらに、恒久的なトークンを盗むのではなく、GitHub Actions内で一時的なOIDCトークンを要求する手法を悪用したため、改ざんされたパッケージには公式なビルド証明（SLSAプロベナンス）が付与される結果となった。これにより、開発業界が推進してきた「信頼されたクリーンな自動ビルド」という前提そのものが、パイプラインの侵害によって逆手に取られる形となった。
埋め込まれたマルウェア「Miasma」は、ユーザーがパッケージをインストールした瞬間に作動し、ローカル環境やCIランナーのメモリ、さらには接続可能なAWS、GCP、Azureなどのクラウド環境から静的キーやクラウドIDを執拗にスキャンして窃取する。このワームは従来の亜種とは異なり、感染ごとに固有の暗号化を行うため、ハッシュ値ベースの従来のセキュリティ検知（IOC）を完全に無効化する。さらに、盗み出したデータの外部送信時には、Anthropic社の正規API（api.anthropic.com）への通信を装うことでネットワークログ上の網の目をくぐり抜ける巧妙な隠蔽工作を行っていた。
さらにこのマルウェアは、窃取した認証情報の中にソフトウェアをパブリッシュ（公開）できる権限を見つけると、その権限が及ぶ他のパッケージにも自身を感染させて自動で再パブリッシュを繰り返す自律型のワーム（ウイルス）として機能する。Harnessは、開発者がこの脅威に対抗するための手段として、CI環境でnpm ci --ignore-scriptsを実行してインストール時のスクリプト実行を強制的にブロックすることや、機密情報のローテーション、影響を受けたパッケージのアンインストールを推奨している。あわせて同社は、自社のソリューション（Harness Supply Chain Security）を用いることで、依存関係の可視化や不正なパッケージのリアルタイム検知・遮断が迅速に行える点を強調している。
出典：Harness
この製品の詳細については、Harness製品ページをご覧ください。
