دودة Miasma تصيب مايكروسوفت: تعطيل 73 مستودعاً لـ Azure على GitHub في 105 ثانية
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط. تعود جذور الهجوم إلى اختراق حساب موظف في Red Hat على GitHub، وتسميم 32 حزمة npm (خاصة بـ Red Hat Cloud Services) لسرقة بيانات الدخول، وإعادة استخدامها لدفع commit خبيث إلى...
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط.
تعود جذور الهجوم إلى اختراق حساب موظف في Red Hat على GitHub، وتسميم 32 حزمة npm (خاصة بـ Red Hat Cloud Services) لسرقة بيانات الدخول، وإعادة استخدامها لدفع commit خبيث إلى مستودع Azure/durabletask.
يمثل الهجوم تطوراً خطيراً في هجمات سلسلة التوريد من خلال استهداف أدوات البرمجة بالذكاء الاصطناعي مثل Claude Code وCursor، وحقن تعليمات خبيثة في ملفات التهيئة التي تقرؤها هذه الأدوات تلقائياً.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
في تصعيد دراماتيكي لهجوم مستمر على سلسلة التوريد البرمجية، تم اختراق وجود Microsoft على GitHub بشكل مباشر في 5 يونيو 2026. commit ضار، تم تحميله عبر حساب مساهم تم اختراقه قبل أيام، دفع دفاعات GitHub التلقائية لتعطيل 73 مستودعاً عبر أربع من أهم مؤسسات Microsoft مفتوحة المصدر في عملية كنس سريعة استغرقت 105 ثوانٍ . كانت هذه الحادثة تتويجاً لحملة استمرت أسبوعاً بواسطة دودة Miasma، التي كانت قد سممت بالفعل سجل npm registry، وأظهرت الآن قدرة مخيفة جديدة: استهداف وكلاء البرمجة بالذكاء الاصطناعي.
البداية: اختراق سلسلة توريد npm في Red Hat
بدأ الهجوم في 1 يونيو 2026، عندما اكتشف باحثو الأمن في شركتي Aikido وOX Security وجود كود خبيث محقون في مساحة أسماء @redhat-cloud-services على npm registry، وهي مجموعة من الحزم التي تدعم Red Hat Hybrid Cloud Console. في المجموع، تم اختراق 32 حزمة عبر 96 نسخة ضارة، والتي جمعت حوالي 117,000 تنزيل أسبوعياً .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "دودة Miasma تصيب مايكروسوفت: تعطيل 73 مستودعاً لـ Azure على GitHub في 105 ثانية"؟
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط. تعود جذور الهجوم إلى اختراق حساب موظف في Red Hat على GitHub، وتسميم 32 حزمة npm (خاصة بـ Red Hat Cloud Services) لسرقة بيانات الدخول، وإعادة استخدامها لدفع commit خبيث إلى مستودع Azure/durabletask.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
يمثل الهجوم تطوراً خطيراً في هجمات سلسلة التوريد من خلال استهداف أدوات البرمجة بالذكاء الاصطناعي مثل Claude Code وCursor، وحقن تعليمات خبيثة في ملفات التهيئة التي تقرؤها هذه الأدوات تلقائياً.
دودة Miasma تصيب مايكروسوفت: تعطيل 73 مستودعاً لـ Azure على GitHub في 105 ثانية
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط. تعود جذور الهجوم إلى اختراق حساب موظف في Red Hat على GitHub، وتسميم 32 حزمة npm (خاصة بـ Red Hat Cloud Services) لسرقة بيانات الدخول، وإعادة استخدامها لدفع commit خبيث إلى...
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط.
تعود جذور الهجوم إلى اختراق حساب موظف في Red Hat على GitHub، وتسميم 32 حزمة npm (خاصة بـ Red Hat Cloud Services) لسرقة بيانات الدخول، وإعادة استخدامها لدفع commit خبيث إلى مستودع Azure/durabletask.
يمثل الهجوم تطوراً خطيراً في هجمات سلسلة التوريد من خلال استهداف أدوات البرمجة بالذكاء الاصطناعي مثل Claude Code وCursor، وحقن تعليمات خبيثة في ملفات التهيئة التي تقرؤها هذه الأدوات تلقائياً.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
في تصعيد دراماتيكي لهجوم مستمر على سلسلة التوريد البرمجية، تم اختراق وجود Microsoft على GitHub بشكل مباشر في 5 يونيو 2026. commit ضار، تم تحميله عبر حساب مساهم تم اختراقه قبل أيام، دفع دفاعات GitHub التلقائية لتعطيل 73 مستودعاً عبر أربع من أهم مؤسسات Microsoft مفتوحة المصدر في عملية كنس سريعة استغرقت 105 ثوانٍ . كانت هذه الحادثة تتويجاً لحملة استمرت أسبوعاً بواسطة دودة Miasma، التي كانت قد سممت بالفعل سجل npm registry، وأظهرت الآن قدرة مخيفة جديدة: استهداف وكلاء البرمجة بالذكاء الاصطناعي.
البداية: اختراق سلسلة توريد npm في Red Hat
بدأ الهجوم في 1 يونيو 2026، عندما اكتشف باحثو الأمن في شركتي Aikido وOX Security وجود كود خبيث محقون في مساحة أسماء @redhat-cloud-services على npm registry، وهي مجموعة من الحزم التي تدعم Red Hat Hybrid Cloud Console. في المجموع، تم اختراق 32 حزمة عبر 96 نسخة ضارة، والتي جمعت حوالي 117,000 تنزيل أسبوعياً .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "دودة Miasma تصيب مايكروسوفت: تعطيل 73 مستودعاً لـ Azure على GitHub في 105 ثانية"؟
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في 5 يونيو 2026، قامت دودة Miasma ذاتية الانتشار باختراق مؤسسات Azure على GitHub، مما دفع GitHub لتعطيل 73 مستودعاً تلقائياً خلال 105 ثوانٍ فقط. تعود جذور الهجوم إلى اختراق حساب موظف في Red Hat على GitHub، وتسميم 32 حزمة npm (خاصة بـ Red Hat Cloud Services) لسرقة بيانات الدخول، وإعادة استخدامها لدفع commit خبيث إلى مستودع Azure/durabletask.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
يمثل الهجوم تطوراً خطيراً في هجمات سلسلة التوريد من خلال استهداف أدوات البرمجة بالذكاء الاصطناعي مثل Claude Code وCursor، وحقن تعليمات خبيثة في ملفات التهيئة التي تقرؤها هذه الأدوات تلقائياً.
لم يكن السبب الجذري مجرد تسرب رمز وصول، بل كان اختراقاً كاملاً للحساب. تمكن المهاجمون من اختراق حساب أحد موظفي Red Hat على GitHub واستخدموا هذا الوصول لحقن commits ضارة في خط أنابيب CI/CD الخاص بـ RedHatInsights/javascript-clients. سمح لهم هذا بإساءة استخدام آلية النشر الموثوق من GitHub Trusted Publishing، حيث قاموا بصك شهادات إثبات مصدر SLSA أصلية لإصدارات حزمهم المخترقة ودفعها مباشرة إلى npm registry .
احتوت الحزم المخترقة على سكريبت preinstall يتم تنفيذه تلقائياً عند التثبيت، والذي يقوم بتنزيل حمولة سرقة بيانات اعتماد بحجم 28 كيلوبايت. هذا البرنامج الضار، الذي تم تحديده كمتغير جديد لعائلة Mini Shai-Hulud المسمى "Miasma" والمُنسوب إلى مجموعة التهديد TeamPCP (رغم عدم استبعاد وجود مقلدين )، يعمل كدودة ذاتية الانتشار .
5 يونيو: الهجوم يصل إلى Microsoft Azure
تم تسليح بيانات الاعتماد المسروقة من مرحلة Red Hat مرة أخرى في 5 يونيو 2026. باستخدام حساب مساهم تم اختراقه سابقاً، دفع المهاجمون commit ضاراً واحداً إلى مستودع Azure/durabletask. هذا المستودع كان بالفعل ضحية لاختراق حزمة PyPI في 19 مايو، وتم استخدام نفس حساب المساهم في كلا الهجومين، مما يسلط الضوء على فشل إلغاء جميع صلاحيات الوصول بالكامل بعد الاختراق الأولي .
احتوى commit الضار على ملفات تهيئة عملت كفخ لوكلاء البرمجة بالذكاء الاصطناعي. عندما يفتح المطور المستودع في أدوات مدعومة بالذكاء الاصطناعي مثل Claude Code أو Gemini CLI أو Cursor أو VS Code، يتم قراءة هذه الملفات تلقائياً، مما يحقن أوامر تنفذ حمولة سرقة بيانات الاعتماد .
كان رد GitHub فورياً وغير مسبوق. في عملية كنس تلقائية، قام بتعطيل 73 مستودعاً عبر أربع مؤسسات لـ Microsoft على GitHub :
Azure (بما في ذلك مستودع Azure Functions Action بالكامل)
Azure-Samples
Microsoft
MicrosoftDocs
عرضت المستودعات المتأثرة إشعاراً رمادياً صارماً: "تم تعطيل هذا المستودع. تم تعطيل الوصول إلى هذا المستودع من قبل موظفي GitHub بسبب انتهاك شروط خدمة GitHub" .
أساليب الهجوم: كيف تعمل الدودة
استخدمت حملة Miasma استراتيجية هجوم متعددة الجوانب جمعت بين التسميم الكلاسيكي لسلسلة التوريد وطرق الانتشار الذاتي الجديدة واستهداف الذكاء الاصطناعي.
تسميم npm Registry: كان المتجه الأولي هو استخدام حزم مخترقة بسكريبتات preinstall خبيثة تُسلم حمولتها بمجرد قيام المطور بتشغيل npm install.
الانتشار الذاتي للدودة: بعد إصابة جهاز المطور، تقوم حمولة الـ 28 كيلوبايت بسرقة رموز GitHub وnpm وبيانات اعتماد أخرى. ثم تستخدم هذه البيانات لارتكاب commit ضار تلقائياً إلى أي مستودعات أخرى يمكن للضحية النشر فيها، مما ينشر العدوى دون تدخل بشري .
سرقة بيانات الاعتماد: كانت الدودة لصاً عنيفاً للبيانات، تستهدف بيانات الاعتماد من AWS وAzure وGCP وKubernetes وHashiCorp Vault وأكثر من 90 إعداداً لأدوات المطورين ومفاتيح SSH ومتغيرات البيئة ومحافظ العملات المشفرة وبيانات استمرارية أدوات الذكاء الاصطناعي .
تجاوز Trusted Publishing: من خلال اختراق حساب موظف على GitHub، تمكن المهاجمون من تجاوز آلية Trusted Publishing القائمة على OIDC في GitHub، مما جعل الحزم الخبيثة تبدو شرعية بشهادات إثبات مصدر صالحة .
حقن وكلاء البرمجة بالذكاء الاصطناعي: في مرحلة Microsoft، قامت الدودة بزرع تعليمات ضارة في ملفات التهيئة التي تستهدف مساعدي البرمجة بالذكاء الاصطناعي على وجه التحديد. هذا يحول أدوات المطورين إلى متجه هجوم غير مقصود، ينفذ تلقائياً سير العمل الذي يتحكم فيه المهاجمون .
الإجراءات التصحيحية والاستجابة
تطلبت المعالجة جهداً منسقاً من عدة مؤسسات تقنية وأمنية كبرى.
في 5 يونيو، قام GitHub بتعطيل 73 مستودعاً لـ Microsoft في عملية كنس تلقائية استمرت 105 ثوانٍ لاحتوائه الضرر .
في 1 يونيو، نشرت Red Hat النشرة RHSB-2026-006 وسحبت جميع رموز npm وبيانات اعتماد النشر المخترقة، وأزالت الحزم المخترقة من السجل .
في 2 يونيو، نشرت Microsoft Threat Intelligence تحليلاً مفصلاً لسلسلة الهجوم، وقدمت إرشادات الكشف للمجتمع الأوسع .
نصح الباحثون بشدة جميع المطورين المتأثرين بتدوير جميع أسرار CI السحابية وبيانات اعتماد السحابة ومفاتيح SSH ورموز npm على الفور، وتدقيق خطوط أنابيب CI/CD بحثاً عن commits غير مصرح بها، ومراقبة المستودعات بحثاً عن سلسلة توقيع الدودة: "Miasma – The Spreading Blight".
تهديدات أوسع: حملة IronWorm وخطر المقلدين
لم يحدث هجوم Miasma في عزلة. في 5 يونيو، كشف باحثون من Endor Labs وStepSecurity عن حملة منفصلة ولكنها موازية، أطلق عليها اسم IronWorm، والتي اخترقت مجموعة أكبر من 57 حزمة npm عبر أكثر من 286 نسخة ضارة لتوصيل متغير جديد من دودة Miasma . أظهر هذا أن الجهات الفاعلة المهددة كانت توسع عملياتها بقوة وتجرب تقنيات جديدة، مثل إساءة استخدام ملفات binding.gyp لتنفيذ التعليمات البرمجية .
أشار تحالف الأمن السحابي (CSA) إلى خطر طويل الأجل: بينما تُنسب الحملة إلى TeamPCP، فقد تم إصدار قاعدة الكود الأساسية بشكل علني. هذا يعني أنه لا يمكن استبعاد الجهات المقلدة التي تستخدم نفس الأدوات أو أدوات معدلة، مما يضمن أن نمط هجوم Miasma سيستمر في كونه تهديداً .
لم يكن السبب الجذري مجرد تسرب رمز وصول، بل كان اختراقاً كاملاً للحساب. تمكن المهاجمون من اختراق حساب أحد موظفي Red Hat على GitHub واستخدموا هذا الوصول لحقن commits ضارة في خط أنابيب CI/CD الخاص بـ RedHatInsights/javascript-clients. سمح لهم هذا بإساءة استخدام آلية النشر الموثوق من GitHub Trusted Publishing، حيث قاموا بصك شهادات إثبات مصدر SLSA أصلية لإصدارات حزمهم المخترقة ودفعها مباشرة إلى npm registry .
احتوت الحزم المخترقة على سكريبت preinstall يتم تنفيذه تلقائياً عند التثبيت، والذي يقوم بتنزيل حمولة سرقة بيانات اعتماد بحجم 28 كيلوبايت. هذا البرنامج الضار، الذي تم تحديده كمتغير جديد لعائلة Mini Shai-Hulud المسمى "Miasma" والمُنسوب إلى مجموعة التهديد TeamPCP (رغم عدم استبعاد وجود مقلدين )، يعمل كدودة ذاتية الانتشار .
5 يونيو: الهجوم يصل إلى Microsoft Azure
تم تسليح بيانات الاعتماد المسروقة من مرحلة Red Hat مرة أخرى في 5 يونيو 2026. باستخدام حساب مساهم تم اختراقه سابقاً، دفع المهاجمون commit ضاراً واحداً إلى مستودع Azure/durabletask. هذا المستودع كان بالفعل ضحية لاختراق حزمة PyPI في 19 مايو، وتم استخدام نفس حساب المساهم في كلا الهجومين، مما يسلط الضوء على فشل إلغاء جميع صلاحيات الوصول بالكامل بعد الاختراق الأولي .
احتوى commit الضار على ملفات تهيئة عملت كفخ لوكلاء البرمجة بالذكاء الاصطناعي. عندما يفتح المطور المستودع في أدوات مدعومة بالذكاء الاصطناعي مثل Claude Code أو Gemini CLI أو Cursor أو VS Code، يتم قراءة هذه الملفات تلقائياً، مما يحقن أوامر تنفذ حمولة سرقة بيانات الاعتماد .
كان رد GitHub فورياً وغير مسبوق. في عملية كنس تلقائية، قام بتعطيل 73 مستودعاً عبر أربع مؤسسات لـ Microsoft على GitHub :
Azure (بما في ذلك مستودع Azure Functions Action بالكامل)
Azure-Samples
Microsoft
MicrosoftDocs
عرضت المستودعات المتأثرة إشعاراً رمادياً صارماً: "تم تعطيل هذا المستودع. تم تعطيل الوصول إلى هذا المستودع من قبل موظفي GitHub بسبب انتهاك شروط خدمة GitHub" .
أساليب الهجوم: كيف تعمل الدودة
استخدمت حملة Miasma استراتيجية هجوم متعددة الجوانب جمعت بين التسميم الكلاسيكي لسلسلة التوريد وطرق الانتشار الذاتي الجديدة واستهداف الذكاء الاصطناعي.
تسميم npm Registry: كان المتجه الأولي هو استخدام حزم مخترقة بسكريبتات preinstall خبيثة تُسلم حمولتها بمجرد قيام المطور بتشغيل npm install.
الانتشار الذاتي للدودة: بعد إصابة جهاز المطور، تقوم حمولة الـ 28 كيلوبايت بسرقة رموز GitHub وnpm وبيانات اعتماد أخرى. ثم تستخدم هذه البيانات لارتكاب commit ضار تلقائياً إلى أي مستودعات أخرى يمكن للضحية النشر فيها، مما ينشر العدوى دون تدخل بشري .
سرقة بيانات الاعتماد: كانت الدودة لصاً عنيفاً للبيانات، تستهدف بيانات الاعتماد من AWS وAzure وGCP وKubernetes وHashiCorp Vault وأكثر من 90 إعداداً لأدوات المطورين ومفاتيح SSH ومتغيرات البيئة ومحافظ العملات المشفرة وبيانات استمرارية أدوات الذكاء الاصطناعي .
تجاوز Trusted Publishing: من خلال اختراق حساب موظف على GitHub، تمكن المهاجمون من تجاوز آلية Trusted Publishing القائمة على OIDC في GitHub، مما جعل الحزم الخبيثة تبدو شرعية بشهادات إثبات مصدر صالحة .
حقن وكلاء البرمجة بالذكاء الاصطناعي: في مرحلة Microsoft، قامت الدودة بزرع تعليمات ضارة في ملفات التهيئة التي تستهدف مساعدي البرمجة بالذكاء الاصطناعي على وجه التحديد. هذا يحول أدوات المطورين إلى متجه هجوم غير مقصود، ينفذ تلقائياً سير العمل الذي يتحكم فيه المهاجمون .
الإجراءات التصحيحية والاستجابة
تطلبت المعالجة جهداً منسقاً من عدة مؤسسات تقنية وأمنية كبرى.
في 5 يونيو، قام GitHub بتعطيل 73 مستودعاً لـ Microsoft في عملية كنس تلقائية استمرت 105 ثوانٍ لاحتوائه الضرر .
في 1 يونيو، نشرت Red Hat النشرة RHSB-2026-006 وسحبت جميع رموز npm وبيانات اعتماد النشر المخترقة، وأزالت الحزم المخترقة من السجل .
في 2 يونيو، نشرت Microsoft Threat Intelligence تحليلاً مفصلاً لسلسلة الهجوم، وقدمت إرشادات الكشف للمجتمع الأوسع .
نصح الباحثون بشدة جميع المطورين المتأثرين بتدوير جميع أسرار CI السحابية وبيانات اعتماد السحابة ومفاتيح SSH ورموز npm على الفور، وتدقيق خطوط أنابيب CI/CD بحثاً عن commits غير مصرح بها، ومراقبة المستودعات بحثاً عن سلسلة توقيع الدودة: "Miasma – The Spreading Blight".
تهديدات أوسع: حملة IronWorm وخطر المقلدين
لم يحدث هجوم Miasma في عزلة. في 5 يونيو، كشف باحثون من Endor Labs وStepSecurity عن حملة منفصلة ولكنها موازية، أطلق عليها اسم IronWorm، والتي اخترقت مجموعة أكبر من 57 حزمة npm عبر أكثر من 286 نسخة ضارة لتوصيل متغير جديد من دودة Miasma . أظهر هذا أن الجهات الفاعلة المهددة كانت توسع عملياتها بقوة وتجرب تقنيات جديدة، مثل إساءة استخدام ملفات binding.gyp لتنفيذ التعليمات البرمجية .
أشار تحالف الأمن السحابي (CSA) إلى خطر طويل الأجل: بينما تُنسب الحملة إلى TeamPCP، فقد تم إصدار قاعدة الكود الأساسية بشكل علني. هذا يعني أنه لا يمكن استبعاد الجهات المقلدة التي تستخدم نفس الأدوات أو أدوات معدلة، مما يضمن أن نمط هجوم Miasma سيستمر في كونه تهديداً .
