Incident na GitHubu Microsoftu byl posledním dějstvím kampaně, která začala o několik dní dříve v dodavatelském řetězci open-source softwaru.
RedHatInsights/javascript-clients, což útočníkům umožnilo publikovat trojanizované balíčky s legitimně vypadajícími autentickými podpisy původu Reakce na útok byla rychlá a rozhodná, ale důsledky incidentu sahají hluboko.
Miasma je přímým potomkem frameworku Mini Shai-Hulud, sady nástrojů vytvořené útočnou skupinou známou jako TeamPCP . Dřívější kampaň skupiny TeamPCP, zveřejněná 12. května 2026, již dříve kompromitovala přes 170 balíčků npm a PyPI, které dohromady nasbíraly více než 518 milionů stažení a přímo cílily na knihovny pro vývojáře AI
.
Situaci dále komplikuje skutečnost, že TeamPCP zveřejnil framework Mini Shai-Hulud jako open-source . To znamená, že neznámý počet napodobitelů má přístup ke stejnému kódu. Zatímco použité techniky a kód silně spojují Miasma s linií od TeamPCP, mnozí bezpečnostní výzkumníci varují, že definitivní atribuci původní skupině nelze provést, protože tuto konkrétní vlnu útoku mohl zorganizovat kdokoli s tímto veřejně dostupným nástrojem
.
Útok Miasma zásadně mění definici bezpečnostních hranic. Otevření repozitáře s kódem již není pasivní, bezpečnou akcí. Výzkumníci se shodují na několika klíčových doporučeních:
Comments
0 comments