• Azure, včetně celé skupiny Azure Functions Action,
• Azure-Samples,
• Microsoft,
• MicrosoftDocs.

U zasažených projektů se zobrazilo oznámení, že repozitář byl deaktivován pracovníky GitHubu kvůli porušení podmínek služby . Šlo o mimořádně rychlou reakci, jejímž cílem bylo zabránit dalšímu šíření kompromitovaného kódu.

Kořeny útoku vedou k Red Hatu

První část kampaně byla odhalena 1. června. Výzkumníci společností Aikido a OX Security zjistili škodlivý kód v balíčcích pod oficiálním prostorem npm @redhat-cloud-services, které souvisejí s Red Hat Hybrid Cloud Console. Kompromitováno bylo 32 balíčků a celkem 96 škodlivých verzí; dohromady měly přibližně 117 000 stažení týdně .

Nešlo jen o únik publikačního tokenu. Útočníci převzali účet zaměstnance Red Hatu a prostřednictvím něj vložili škodlivé commity do CI/CD pipeline repozitáře RedHatInsights/javascript-clients . Tím zneužili legitimní mechanismus GitHub Actions a npm trusted publishing, který využívá krátkodobé OIDC tokeny. Napadené balíčky tak mohly získat platná potvrzení původu SLSA a na první pohled působit důvěryhodně .

Kompromitované verze obsahovaly instalační skript preinstall. Ten se spouští automaticky při instalaci balíčku příkazem npm install a stáhl přibližně 28KB payload určený ke krádeži přihlašovacích údajů. Malware byl označen jako nová varianta rodiny Mini Shai-Hulud a připisován skupině TeamPCP, ačkoli použití stejného veřejně dostupného kódu kopírujícími útočníky nelze vyloučit .

Jak se Miasma šířil

Kampaň kombinovala klasické otrávení softwarového řetězce s automatickým šířením a novým způsobem zneužití AI vývojářských nástrojů.

• Otrávené balíčky npm: Škodlivé balíčky spouštěly kód už při instalaci, ještě před spuštěním samotné aplikace .
• Samostatné šíření: Po napadení počítače vývojáře malware vyhledával tokeny GitHubu, npm a další přístupové údaje. Ty pak mohl použít k vložení škodlivého kódu do repozitářů, do nichž měl oběť právo publikovat .
• Krádež tajemství: Payload cílil na údaje pro AWS, Azure, GCP, Kubernetes a HashiCorp Vault, konfigurace více než 90 vývojářských nástrojů, SSH klíče, proměnné prostředí, kryptoměnové peněženky i data spojená s nástroji AI .
• Zneužití důvěryhodného publikování: Převzetí účtu zaměstnance umožnilo útočníkům zneužít legitimní proces GitHub Actions a publikovat pozměněné balíčky s autenticky vypadajícím původem .
• Útok na AI asistenty: V repozitáři Microsoftu byly umístěny konfigurační soubory s instrukcemi určenými pro nástroje Claude Code, Gemini CLI, Cursor a VS Code. Po otevření projektu v těchto nástrojích mohly být soubory automaticky načteny a spustit proces vedoucí ke krádeži přihlašovacích údajů .

Tento poslední prvek je důležitý: AI asistent, který má vývojáři pomáhat s orientací v cizím projektu, se může stát další cestou, jak nechtěně zpracovat útočníkem vložené instrukce.

Co následovalo

Obrana vyžadovala koordinaci několika organizací:

• GitHub 5. června deaktivoval 73 repozitářů Microsoftu během 105 sekund .
• Red Hat 1. června zveřejnil bezpečnostní upozornění RHSB-2026-006, odvolal kompromitované npm tokeny a publikační údaje a odstranil napadené balíčky z registru .
• Microsoft Threat Intelligence 2. června zveřejnil analýzu řetězce útoku a doporučení pro detekci .
• Bezpečnostní výzkumníci doporučili změnit všechny potenciálně odhalené CI secrets, cloudové přihlašovací údaje, SSH klíče a npm tokeny. Současně je nutné prověřit CI/CD pipeline, historii commitů a oprávnění repozitářů .

Jedním z hledaných znaků infekce je řetězec „Miasma – The Spreading Blight“ . Samotná přítomnost tohoto řetězce by měla vést k okamžitému bezpečnostnímu prověření, nikoli však k závěru, že každý jeho výskyt automaticky potvrzuje kompromitaci.

Další kampaň IronWorm a riziko kopií

Miasma nebyl v daném období jedinou podobnou hrozbou. Výzkumníci z Endor Labs a StepSecurity 5. června popsali samostatnou, ale související kampaň nazvanou IronWorm. Ta kompromitovala 57 balíčků npm ve více než 286 škodlivých verzích a distribuovala novou variantu červa Miasma . Útočníci při ní experimentovali také se zneužitím souborů binding.gyp ke spuštění kódu .

Pozornost vzbudil i dřívější incident s balíčkem Microsoftu durabletask na PyPI z 19. května. Z balíčku se stahoval podobný 28KB payload, který kradl údaje z cloudových služeb, Kubernetes, správců hesel a desítek vývojářských konfigurací. Událost byla rovněž spojována se skupinou TeamPCP a rodinou Mini Shai-Hulud .

Cloud Security Alliance upozornila na dlouhodobější problém: zdrojový kód, z něhož Miasma vychází, byl zveřejněn. I pokud je konkrétní kampaň připisována TeamPCP, další útočníci mohou stejné nástroje upravit a použít v nových útocích .

Případ tak ukazuje, že bezpečnost softwarového dodavatelského řetězce nekončí u kontroly balíčku nebo platného podpisu. Útočník může nejprve převzít důvěryhodný účet, zneužít automatizované publikování, ukrást vývojářské tokeny a nakonec vložit škodlivé instrukce přímo do repozitáře, s nímž pracují lidé i AI nástroje.

• Azure, včetně celé skupiny Azure Functions Action,
• Azure-Samples,
• Microsoft,
• MicrosoftDocs.

U zasažených projektů se zobrazilo oznámení, že repozitář byl deaktivován pracovníky GitHubu kvůli porušení podmínek služby . Šlo o mimořádně rychlou reakci, jejímž cílem bylo zabránit dalšímu šíření kompromitovaného kódu.

Kořeny útoku vedou k Red Hatu

První část kampaně byla odhalena 1. června. Výzkumníci společností Aikido a OX Security zjistili škodlivý kód v balíčcích pod oficiálním prostorem npm @redhat-cloud-services, které souvisejí s Red Hat Hybrid Cloud Console. Kompromitováno bylo 32 balíčků a celkem 96 škodlivých verzí; dohromady měly přibližně 117 000 stažení týdně .

Nešlo jen o únik publikačního tokenu. Útočníci převzali účet zaměstnance Red Hatu a prostřednictvím něj vložili škodlivé commity do CI/CD pipeline repozitáře RedHatInsights/javascript-clients . Tím zneužili legitimní mechanismus GitHub Actions a npm trusted publishing, který využívá krátkodobé OIDC tokeny. Napadené balíčky tak mohly získat platná potvrzení původu SLSA a na první pohled působit důvěryhodně .

Kompromitované verze obsahovaly instalační skript preinstall. Ten se spouští automaticky při instalaci balíčku příkazem npm install a stáhl přibližně 28KB payload určený ke krádeži přihlašovacích údajů. Malware byl označen jako nová varianta rodiny Mini Shai-Hulud a připisován skupině TeamPCP, ačkoli použití stejného veřejně dostupného kódu kopírujícími útočníky nelze vyloučit .

Jak se Miasma šířil

Kampaň kombinovala klasické otrávení softwarového řetězce s automatickým šířením a novým způsobem zneužití AI vývojářských nástrojů.

• Otrávené balíčky npm: Škodlivé balíčky spouštěly kód už při instalaci, ještě před spuštěním samotné aplikace .
• Samostatné šíření: Po napadení počítače vývojáře malware vyhledával tokeny GitHubu, npm a další přístupové údaje. Ty pak mohl použít k vložení škodlivého kódu do repozitářů, do nichž měl oběť právo publikovat .
• Krádež tajemství: Payload cílil na údaje pro AWS, Azure, GCP, Kubernetes a HashiCorp Vault, konfigurace více než 90 vývojářských nástrojů, SSH klíče, proměnné prostředí, kryptoměnové peněženky i data spojená s nástroji AI .
• Zneužití důvěryhodného publikování: Převzetí účtu zaměstnance umožnilo útočníkům zneužít legitimní proces GitHub Actions a publikovat pozměněné balíčky s autenticky vypadajícím původem .
• Útok na AI asistenty: V repozitáři Microsoftu byly umístěny konfigurační soubory s instrukcemi určenými pro nástroje Claude Code, Gemini CLI, Cursor a VS Code. Po otevření projektu v těchto nástrojích mohly být soubory automaticky načteny a spustit proces vedoucí ke krádeži přihlašovacích údajů .

Tento poslední prvek je důležitý: AI asistent, který má vývojáři pomáhat s orientací v cizím projektu, se může stát další cestou, jak nechtěně zpracovat útočníkem vložené instrukce.

Co následovalo

Obrana vyžadovala koordinaci několika organizací:

• GitHub 5. června deaktivoval 73 repozitářů Microsoftu během 105 sekund .
• Red Hat 1. června zveřejnil bezpečnostní upozornění RHSB-2026-006, odvolal kompromitované npm tokeny a publikační údaje a odstranil napadené balíčky z registru .
• Microsoft Threat Intelligence 2. června zveřejnil analýzu řetězce útoku a doporučení pro detekci .
• Bezpečnostní výzkumníci doporučili změnit všechny potenciálně odhalené CI secrets, cloudové přihlašovací údaje, SSH klíče a npm tokeny. Současně je nutné prověřit CI/CD pipeline, historii commitů a oprávnění repozitářů .

Jedním z hledaných znaků infekce je řetězec „Miasma – The Spreading Blight“ . Samotná přítomnost tohoto řetězce by měla vést k okamžitému bezpečnostnímu prověření, nikoli však k závěru, že každý jeho výskyt automaticky potvrzuje kompromitaci.

Další kampaň IronWorm a riziko kopií

Miasma nebyl v daném období jedinou podobnou hrozbou. Výzkumníci z Endor Labs a StepSecurity 5. června popsali samostatnou, ale související kampaň nazvanou IronWorm. Ta kompromitovala 57 balíčků npm ve více než 286 škodlivých verzích a distribuovala novou variantu červa Miasma . Útočníci při ní experimentovali také se zneužitím souborů binding.gyp ke spuštění kódu .

Pozornost vzbudil i dřívější incident s balíčkem Microsoftu durabletask na PyPI z 19. května. Z balíčku se stahoval podobný 28KB payload, který kradl údaje z cloudových služeb, Kubernetes, správců hesel a desítek vývojářských konfigurací. Událost byla rovněž spojována se skupinou TeamPCP a rodinou Mini Shai-Hulud .

Cloud Security Alliance upozornila na dlouhodobější problém: zdrojový kód, z něhož Miasma vychází, byl zveřejněn. I pokud je konkrétní kampaň připisována TeamPCP, další útočníci mohou stejné nástroje upravit a použít v nových útocích .

Případ tak ukazuje, že bezpečnost softwarového dodavatelského řetězce nekončí u kontroly balíčku nebo platného podpisu. Útočník může nejprve převzít důvěryhodný účet, zneužít automatizované publikování, ukrást vývojářské tokeny a nakonec vložit škodlivé instrukce přímo do repozitáře, s nímž pracují lidé i AI nástroje.