El Gusano Miasma paraliza 73 repositorios de Microsoft en GitHub en un ataque coordinado a la cadena de suministro
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun... El ataque se originó con la cuenta comprometida de un empleado de Red Hat, utilizada para envene...
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun...
El ataque se originó con la cuenta comprometida de un empleado de Red Hat, utilizada para envenenar 32 paquetes npm (@redhat cloud services) y robar credenciales, que luego se reutilizaron para inyectar un commit mali...
La campaña marca una evolución peligrosa en los ataques a la cadena de suministro al dirigirse a asistentes de codificación con IA como Claude Code y Cursor, inyectando instrucciones maliciosas en archivos de configur...
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
En una escalada dramática de un ataque continuo a la cadena de suministro de software, la presencia de Microsoft en GitHub fue comprometida directamente el 5 de junio de 2026. Un commit malicioso, plantado por una cuenta de colaborador secuestrada días antes, activó las defensas automatizadas de GitHub, que deshabilitaron 73 repositorios en cuatro de las organizaciones open-source más críticas de Microsoft en una barrida de 105 segundos . Este incidente fue el clímax de una campaña de una semana del gusano Miasma, que ya había envenenado el registro npm y ahora demostraba una nueva y aterradora capacidad: atacar a los agentes de codificación con IA.
El origen: compromiso de la cadena de suministro npm de Red Hat
El ataque comenzó el 1 de junio de 2026, cuando investigadores de seguridad de Aikido y OX Security descubrieron código malicioso inyectado en el espacio de nombres npm , un conjunto de paquetes que impulsan la Consola Híbrida de Red Hat. En total, se comprometieron 32 paquetes en 96 versiones maliciosas, que en conjunto acumulaban aproximadamente 117.000 descargas semanales .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "El Gusano Miasma paraliza 73 repositorios de Microsoft en GitHub en un ataque coordinado a la cadena de suministro"?
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun...
¿Cuáles son los puntos clave a validar primero?
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun... El ataque se originó con la cuenta comprometida de un empleado de Red Hat, utilizada para envenenar 32 paquetes npm (@redhat cloud services) y robar credenciales, que luego se reutilizaron para inyectar un commit mali...
¿Qué debo hacer a continuación en la práctica?
La campaña marca una evolución peligrosa en los ataques a la cadena de suministro al dirigirse a asistentes de codificación con IA como Claude Code y Cursor, inyectando instrucciones maliciosas en archivos de configur...
El Gusano Miasma paraliza 73 repositorios de Microsoft en GitHub en un ataque coordinado a la cadena de suministro
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun... El ataque se originó con la cuenta comprometida de un empleado de Red Hat, utilizada para envene...
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun...
El ataque se originó con la cuenta comprometida de un empleado de Red Hat, utilizada para envenenar 32 paquetes npm (@redhat cloud services) y robar credenciales, que luego se reutilizaron para inyectar un commit mali...
La campaña marca una evolución peligrosa en los ataques a la cadena de suministro al dirigirse a asistentes de codificación con IA como Claude Code y Cursor, inyectando instrucciones maliciosas en archivos de configur...
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
En una escalada dramática de un ataque continuo a la cadena de suministro de software, la presencia de Microsoft en GitHub fue comprometida directamente el 5 de junio de 2026. Un commit malicioso, plantado por una cuenta de colaborador secuestrada días antes, activó las defensas automatizadas de GitHub, que deshabilitaron 73 repositorios en cuatro de las organizaciones open-source más críticas de Microsoft en una barrida de 105 segundos . Este incidente fue el clímax de una campaña de una semana del gusano Miasma, que ya había envenenado el registro npm y ahora demostraba una nueva y aterradora capacidad: atacar a los agentes de codificación con IA.
El origen: compromiso de la cadena de suministro npm de Red Hat
El ataque comenzó el 1 de junio de 2026, cuando investigadores de seguridad de Aikido y OX Security descubrieron código malicioso inyectado en el espacio de nombres npm , un conjunto de paquetes que impulsan la Consola Híbrida de Red Hat. En total, se comprometieron 32 paquetes en 96 versiones maliciosas, que en conjunto acumulaban aproximadamente 117.000 descargas semanales .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "El Gusano Miasma paraliza 73 repositorios de Microsoft en GitHub en un ataque coordinado a la cadena de suministro"?
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun...
¿Cuáles son los puntos clave a validar primero?
El 5 de junio de 2026, el gusano autorreplicante Miasma infiltró las organizaciones de Azure en GitHub, forzando a la plataforma a deshabilitar automáticamente 73 repositorios en una barrida de emergencia de 105 segun... El ataque se originó con la cuenta comprometida de un empleado de Red Hat, utilizada para envenenar 32 paquetes npm (@redhat cloud services) y robar credenciales, que luego se reutilizaron para inyectar un commit mali...
¿Qué debo hacer a continuación en la práctica?
La campaña marca una evolución peligrosa en los ataques a la cadena de suministro al dirigirse a asistentes de codificación con IA como Claude Code y Cursor, inyectando instrucciones maliciosas en archivos de configur...
La causa raíz no fue una simple filtración de tokens, sino la toma de control total de una cuenta. Los atacantes comprometieron la cuenta de GitHub de un empleado de Red Hat y utilizaron este acceso para inyectar commits maliciosos en el pipeline CI/CD del repositorio upstream RedHatInsights/javascript-clients. Esto les permitió abusar del mecanismo de publicación confiable de GitHub, acuñando atestaciones de procedencia SLSA auténticas para sus lanzamientos de paquetes con puerta trasera y enviándolos directamente al registro npm .
Los paquetes comprometidos contenían un script preinstall que se ejecutaba automáticamente al instalarse, descargando una carga útil de 28 KB que robaba credenciales. Este malware, identificado como una nueva variante de la familia Mini Shai-Hulud, bautizada como "Miasma" y atribuida al grupo de actores de amenazas TeamPCP (aunque no se descartan imitadores), actuaba como un gusano autorreplicante .
5 de junio: el ataque llega a Microsoft Azure
Las credenciales robadas en la fase de Red Hat se utilizaron nuevamente el 5 de junio de 2026. Usando una cuenta de colaborador previamente comprometida, los atacantes enviaron un único commit malicioso al repositorio Azure/durabletask. Este repositorio ya había sido víctima de un compromiso de paquete PyPI el 19 de mayo, y la misma cuenta de colaborador se utilizó en ambos ataques, lo que pone de relieve la falla en revocar completamente todos los accesos tras la brecha inicial .
El commit malicioso contenía archivos de configuración que actuaban como una trampa para los agentes de codificación con IA. Cuando un desarrollador abría el repositorio en herramientas impulsadas por IA como Claude Code, Gemini CLI, Cursor o VS Code, los archivos se leían automáticamente, inyectando comandos que ejecutaban una carga útil de recolección de credenciales .
La respuesta de GitHub fue inmediata y sin precedentes. En una barrida automatizada, deshabilitó 73 repositorios en cuatro organizaciones de Microsoft en GitHub :
Azure (incluyendo todo el repositorio Azure Functions Action)
Azure-Samples
Microsoft
MicrosoftDocs
Los repositorios afectados mostraban un aviso gris: "Este repositorio ha sido deshabilitado. El acceso a este repositorio ha sido deshabilitado por el personal de GitHub debido a una violación de los términos de servicio de GitHub" .
Vectores de ataque: cómo operó el gusano
La campaña Miasma utilizó una estrategia de ataque multifacética que combinó el envenenamiento clásico de la cadena de suministro con nuevas técnicas de autopropagación y ataque a la IA.
Envenenamiento del registro npm: El vector inicial utilizó paquetes con puerta trasera y scripts preinstall maliciosos que entregaban su carga útil en el momento en que un desarrollador ejecutaba npm install.
Autopropagación del gusano: Tras infectar la máquina de un desarrollador, la carga útil de 28 KB recolectaba tokens de GitHub, tokens de npm y otras credenciales. Luego las usaba para hacer commit automático de código malicioso a cualquier otro repositorio al que la víctima pudiera publicar, propagando la infección sin intervención humana .
Recolección de credenciales: El gusano era un agresivo ladrón de datos, apuntando a credenciales de AWS, Azure, GCP, Kubernetes, HashiCorp Vault, más de 90 configuraciones de herramientas de desarrollo, claves SSH, variables de entorno, billeteras de criptomonedas y datos de persistencia de herramientas de IA .
Bypass de publicación confiable: Al comprometer la cuenta de GitHub de un empleado, los atacantes podían eludir el mecanismo de publicación confiable basado en OIDC de GitHub, haciendo que los paquetes maliciosos parecieran legítimos con atestaciones de procedencia válidas .
Inyección en agentes de codificación con IA: En la fase de Microsoft, el gusano plantó instrucciones maliciosas en archivos de configuración dirigidos específicamente a asistentes de codificación con IA. Esto convierte las herramientas de desarrollo en un vector de ataque involuntario, ejecutando automáticamente flujos de trabajo controlados por el atacante .
Respuesta y remediación
La remediación requirió un esfuerzo sincronizado de múltiples organizaciones tecnológicas y de seguridad.
El 5 de junio, GitHub deshabilitó 73 repositorios de Microsoft en una barrida automática de 105 segundos para contener el daño .
El 1 de junio, Red Hat publicó el aviso RHSB-2026-006 y revocó todos los tokens npm y credenciales de publicación comprometidos, eliminando los paquetes con puerta trasera del registro .
El 2 de junio, Microsoft Threat Intelligence publicó un análisis detallado de la cadena de ataque, proporcionando orientación de detección para la comunidad en general .
Los investigadores aconsejaron encarecidamente a todos los desarrolladores afectados rotar inmediatamente todos los secretos de CI expuestos, credenciales en la nube, claves SSH y tokens npm; auditar los pipelines CI/CD en busca de commits no autorizados; y monitorear los repositorios en busca de la cadena de característica distintiva del gusano: "Miasma – The Spreading Blight".
Amenazas más amplias: la campaña IronWorm y el riesgo de imitadores
El ataque Miasma no ocurrió de forma aislada. El 5 de junio, investigadores de Endor Labs y StepSecurity revelaron una campaña separada pero paralela, denominada IronWorm, que había comprometido un conjunto aún mayor de 57 paquetes npm en más de 286 versiones maliciosas para distribuir una nueva variante del gusano Miasma . Esto demostró que los actores de amenazas estaban escalando agresivamente sus operaciones y experimentando con nuevas técnicas, como abusar de los archivos binding.gyp para la ejecución de código .
La Cloud Security Alliance (CSA) señaló un riesgo crítico a largo plazo: aunque la campaña se atribuyó a TeamPCP, la base de código subyacente se publicó. Esto significa que no se pueden descartar actores imitadores que utilicen las mismas herramientas o modificadas, lo que garantiza que el patrón de ataque Miasma seguirá siendo una amenaza .
La causa raíz no fue una simple filtración de tokens, sino la toma de control total de una cuenta. Los atacantes comprometieron la cuenta de GitHub de un empleado de Red Hat y utilizaron este acceso para inyectar commits maliciosos en el pipeline CI/CD del repositorio upstream RedHatInsights/javascript-clients. Esto les permitió abusar del mecanismo de publicación confiable de GitHub, acuñando atestaciones de procedencia SLSA auténticas para sus lanzamientos de paquetes con puerta trasera y enviándolos directamente al registro npm .
Los paquetes comprometidos contenían un script preinstall que se ejecutaba automáticamente al instalarse, descargando una carga útil de 28 KB que robaba credenciales. Este malware, identificado como una nueva variante de la familia Mini Shai-Hulud, bautizada como "Miasma" y atribuida al grupo de actores de amenazas TeamPCP (aunque no se descartan imitadores), actuaba como un gusano autorreplicante .
5 de junio: el ataque llega a Microsoft Azure
Las credenciales robadas en la fase de Red Hat se utilizaron nuevamente el 5 de junio de 2026. Usando una cuenta de colaborador previamente comprometida, los atacantes enviaron un único commit malicioso al repositorio Azure/durabletask. Este repositorio ya había sido víctima de un compromiso de paquete PyPI el 19 de mayo, y la misma cuenta de colaborador se utilizó en ambos ataques, lo que pone de relieve la falla en revocar completamente todos los accesos tras la brecha inicial .
El commit malicioso contenía archivos de configuración que actuaban como una trampa para los agentes de codificación con IA. Cuando un desarrollador abría el repositorio en herramientas impulsadas por IA como Claude Code, Gemini CLI, Cursor o VS Code, los archivos se leían automáticamente, inyectando comandos que ejecutaban una carga útil de recolección de credenciales .
La respuesta de GitHub fue inmediata y sin precedentes. En una barrida automatizada, deshabilitó 73 repositorios en cuatro organizaciones de Microsoft en GitHub :
Azure (incluyendo todo el repositorio Azure Functions Action)
Azure-Samples
Microsoft
MicrosoftDocs
Los repositorios afectados mostraban un aviso gris: "Este repositorio ha sido deshabilitado. El acceso a este repositorio ha sido deshabilitado por el personal de GitHub debido a una violación de los términos de servicio de GitHub" .
Vectores de ataque: cómo operó el gusano
La campaña Miasma utilizó una estrategia de ataque multifacética que combinó el envenenamiento clásico de la cadena de suministro con nuevas técnicas de autopropagación y ataque a la IA.
Envenenamiento del registro npm: El vector inicial utilizó paquetes con puerta trasera y scripts preinstall maliciosos que entregaban su carga útil en el momento en que un desarrollador ejecutaba npm install.
Autopropagación del gusano: Tras infectar la máquina de un desarrollador, la carga útil de 28 KB recolectaba tokens de GitHub, tokens de npm y otras credenciales. Luego las usaba para hacer commit automático de código malicioso a cualquier otro repositorio al que la víctima pudiera publicar, propagando la infección sin intervención humana .
Recolección de credenciales: El gusano era un agresivo ladrón de datos, apuntando a credenciales de AWS, Azure, GCP, Kubernetes, HashiCorp Vault, más de 90 configuraciones de herramientas de desarrollo, claves SSH, variables de entorno, billeteras de criptomonedas y datos de persistencia de herramientas de IA .
Bypass de publicación confiable: Al comprometer la cuenta de GitHub de un empleado, los atacantes podían eludir el mecanismo de publicación confiable basado en OIDC de GitHub, haciendo que los paquetes maliciosos parecieran legítimos con atestaciones de procedencia válidas .
Inyección en agentes de codificación con IA: En la fase de Microsoft, el gusano plantó instrucciones maliciosas en archivos de configuración dirigidos específicamente a asistentes de codificación con IA. Esto convierte las herramientas de desarrollo en un vector de ataque involuntario, ejecutando automáticamente flujos de trabajo controlados por el atacante .
Respuesta y remediación
La remediación requirió un esfuerzo sincronizado de múltiples organizaciones tecnológicas y de seguridad.
El 5 de junio, GitHub deshabilitó 73 repositorios de Microsoft en una barrida automática de 105 segundos para contener el daño .
El 1 de junio, Red Hat publicó el aviso RHSB-2026-006 y revocó todos los tokens npm y credenciales de publicación comprometidos, eliminando los paquetes con puerta trasera del registro .
El 2 de junio, Microsoft Threat Intelligence publicó un análisis detallado de la cadena de ataque, proporcionando orientación de detección para la comunidad en general .
Los investigadores aconsejaron encarecidamente a todos los desarrolladores afectados rotar inmediatamente todos los secretos de CI expuestos, credenciales en la nube, claves SSH y tokens npm; auditar los pipelines CI/CD en busca de commits no autorizados; y monitorear los repositorios en busca de la cadena de característica distintiva del gusano: "Miasma – The Spreading Blight".
Amenazas más amplias: la campaña IronWorm y el riesgo de imitadores
El ataque Miasma no ocurrió de forma aislada. El 5 de junio, investigadores de Endor Labs y StepSecurity revelaron una campaña separada pero paralela, denominada IronWorm, que había comprometido un conjunto aún mayor de 57 paquetes npm en más de 286 versiones maliciosas para distribuir una nueva variante del gusano Miasma . Esto demostró que los actores de amenazas estaban escalando agresivamente sus operaciones y experimentando con nuevas técnicas, como abusar de los archivos binding.gyp para la ejecución de código .
La Cloud Security Alliance (CSA) señaló un riesgo crítico a largo plazo: aunque la campaña se atribuyó a TeamPCP, la base de código subyacente se publicó. Esto significa que no se pueden descartar actores imitadores que utilicen las mismas herramientas o modificadas, lo que garantiza que el patrón de ataque Miasma seguirá siendo una amenaza .
