Miasma-Wurm befällt Microsoft GitHub: Wie eine neue Malware KI-Entwicklungstools als Waffe einsetzt

Am 5. Juni 2026 zwang ein sich selbst replizierender Schadcode namens Miasma-Wurm GitHub dazu, 73 Repositories im Besitz von Microsoft innerhalb von nur 105 Sekunden zu deaktivieren . Es handelte sich dabei nicht um eine einfache Code-Injektion, sondern um einen hochentwickelten Lieferkettenangriff, der genau die Werkzeuge als Waffe einsetzte, denen Entwickler am meisten vertrauen – ihre KI-gestützten Coding-Assistenten. Betroffen waren Repositories aus vier zentralen Microsoft-Organisationen: Azure, Azure-Samples, Microsoft und MicrosoftDocs . Der Angriff markiert einen Wendepunkt in der Cybersicherheit, denn das bloße Öffnen einer Codebasis in einer KI-Umgebung wurde zum Auslöser für den Diebstahl von Anmeldedaten.

So lief der Angriff ab: KI-Tools als Auslöser

Die Neuartigkeit des Angriffs lag in seinem Ausführungspfad, der traditionelle Sicherheitsprüfungen umging, indem er Entwicklerwerkzeuge zu Angriffsvektoren machte.

• Die Eintrittspforte: Der Angriff begann mit einem bösartigen Commit im Azure/durabletask-Repository unter Verwendung eines zuvor kompromittierten Kontos eines Mitwirkenden . Um einer Entdeckung zu entgehen, trug der Commit den Titel "Switched DataConverter to OrchestrationContext [skip ci]" und wurde rückwirkend auf März 2020 datiert .
• Auslieferung der Schadroutine über KI-Assistenten: Der Commit veränderte keinen herkömmlichen Quellcode. Stattdessen platzierte er Konfigurationsdateien, etwa für Claude Code, Gemini CLI und Cursor . Wenn ein Entwickler das infizierte Repository in Claude Code, Gemini CLI, Cursor oder Visual Studio Code (VS Code) öffnete, lasen diese KI-Tools die Konfigurationsdateien automatisch ein und führten eine verborgene Routine zum Sammeln von Anmeldeinformationen aus .
• Was gestohlen wurde: Einmal ausgeführt, sammelte der Wurm eine breite Palette kritischer Anmeldeinformationen vom Rechner des Entwicklers und den verbundenen Umgebungen, darunter die für AWS, GCP, Azure, HashiCorp Vault, Kubernetes und GitHub Actions .
• Selbstreplikation: Nach dem Diebstahl der Anmeldedaten nutzte der Wurm diese, um den gleichen bösartigen Commit in andere Repositories zu übertragen, auf die das Opfer Zugriff hatte, wodurch er sich schnell über mehrere Organisationen hinweg verbreiten konnte .

Der Ursprung: Die Kompromittierung der Red Hat npm-Pakete

Der Vorfall auf Microsofts GitHub war der krönende Abschluss einer Kampagne, die Tage zuvor in der Open-Source-Lieferkette begann.

Am 1. Juni 2026 nutzten Angreifer ein gestohlenes GitHub-Konto eines Red-Hat-Mitarbeiters, um manipulierte Versionen von 32 offiziellen @redhat-cloud-services npm-Paketen über mehr als 90 Versionen hinweg zu veröffentlichen . Microsoft Threat Intelligence führte die Kompromittierung auf die vorgelagerte CI/CD-Pipeline von RedHatInsights/javascript-clients zurück, was es den Angreifern ermöglichte, trojanisierte Pakete mit legitim aussehenden Herkunftssignaturen zu veröffentlichen . Diese bösartigen Pakete enthielten ein verschleiertes Preinstall-Skript, das bei der Installation eine Schadroutine zum Diebstahl von Anmeldedaten ausführte und den Grundstein für die weitere Verbreitung von Miasma legte .

Reaktion und Eindämmung

Die Reaktion auf den Angriff erfolgte rasch und entschlossen, doch die Implikationen des Vorfalls sind tiefgreifend.

• Sofortige Deaktivierung: Die automatisierten Missbrauchserkennungssysteme von GitHub deaktivierten alle 73 infizierten Repositories in zwei getrennten Wellen und sperrten sofort den öffentlichen Zugriff mit dem Hinweis auf einen "Verstoß gegen die Nutzungsbedingungen" .
• Wiederherstellung und Schadensbegrenzung: Microsoft stellte alle betroffenen Repositories bis zum 8. Juni vollständig wieder her und informierte betroffene Kunden . Eine wichtige Erkenntnis war, dass der Angreifer nicht ausgetauschte GitHub-Actions-Geheimnisse wiederverwendete, um den Zugriff aufrechtzuerhalten und auszuweiten, ein Hinweis darauf, dass eine vorherige Kompromittierung nicht vollständig bereinigt worden war .
• Ein tieferliegendes Problem: Ermittlungen ergaben, dass die gestohlenen Anmeldedaten, die bei dem Angriff am 5. Juni verwendet wurden, 48 Tage lang in aktiven Stealer-Logs ruhten, bevor sie zum Einsatz kamen. Dies deutet auf eine langfristige Infiltration hin, die der Aktivierung des Wurms vorausging .

Urheberschaft: Das Shai-Hulud-Erbe und das Trittbrettfahrerproblem

Miasma ist ein direkter Abkömmling des Mini-Shai-Hulud-Wurm-Frameworks, eines Toolkits, das von der als TeamPCP bekannten Bedrohungsgruppe entwickelt wurde . Eine frühere, am 12. Mai 2026 aufgedeckte Kampagne von TeamPCP hatte bereits über 170 npm- und PyPI-Pakete mit kumuliert mehr als 518 Millionen Downloads kompromittiert und zielte direkt auf KI-Entwicklerbibliotheken ab .

Die Situation wird zusätzlich dadurch erschwert, dass TeamPCP das Mini-Shai-Hulud-Framework als Open Source veröffentlichte . Dadurch hat eine unbekannte Anzahl von Trittbrettfahrern Zugriff auf denselben Code. Während die Techniken und der Code Miasma stark mit der Linie von TeamPCP verbinden, mahnen mehrere Sicherheitsforscher zur Vorsicht: Eine definitive Zuordnung zur ursprünglichen Gruppe ist nicht möglich, da jeder Akteur mit dem öffentlich zugänglichen Toolkit diese Angriffswelle ganz oder teilweise orchestriert haben könnte .

Sicherheitsempfehlungen für Entwickler

Der Miasma-Angriff definiert Sicherheitsgrenzen grundlegend neu. Ein Code-Repository zu öffnen, ist kein passiver, sicherer Vorgang mehr. Forscher haben sich auf mehrere zentrale Empfehlungen verständigt:

• Alle Zugangsdaten sofort zurücksetzen: Erneuern Sie umgehend alle GitHub-Actions-Token, Cloud-Anbieter-Anmeldeinformationen, npm-Publish-Token und alle anderen Geheimnisse, die über CI/CD-Logs, infizierte Repositories oder Stealer-Logs offengelegt worden sein könnten .
• Strikte Multi-Faktor-Authentifizierung (MFA) erzwingen: Fordern Sie MFA, vorzugsweise mit Hardware-Sicherheitsschlüsseln, für alle Mitwirkenden-Konten, um Anmeldeinformationsbasierte Einbrüche zu verhindern .
• Vertrauensgrenzen von KI-Tools überprüfen: Behandeln Sie nicht vertrauenswürdige Repositories wie eine unbekannte Binärdatei. Konfigurieren Sie KI-Coding-Agenten (Claude Code, Cursor, Gemini CLI, VS Code) so, dass sie Konfigurationsdateien und Aufgaben nicht automatisch aus Repositories ausführen oder einlesen .
• CI/CD-Pipelines härten: Prüfen Sie GitHub-Actions-Workflows, um Schreibzugriff auf Actions-Token einzuschränken, nicht verwendete Token zu entfernen und die Verwendung kurzlebiger Anmeldeinformationen zu erzwingen .
• Lieferkettenhygiene verbessern: Nutzen Sie Tools zum Scannen von Abhängigkeiten, erstellen Sie eine Stückliste für Software (SBOM) und überprüfen Sie die Herkunft von Paketen vor der Installation. Überwachen Sie Pakete auf verschleierte Preinstall- oder Postinstall-Skripte .