Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa.
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa.
Hyökkäys juontui Red Hatin työntekijän kaapatusta GitHub tilistä. Sen avulla saastutettiin 32 @redhat cloud services npm pakettia ja varastettiin kehittäjien tunnistetietoja.
Kampanja toi esiin uuden vaarallisen hyökkäysreitin: haitalliset ohjeet voitiin piilottaa asetustiedostoihin, joita Claude Code, Gemini CLI, Cursor ja VS Code lukevat.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Kesäkuun 5. päivänä 2026 Microsoftin GitHub-läsnäolo joutui suoraan Miasma-madon kohteeksi. Hyökkääjät käyttivät aiemmin kaapattua avustajatiliä ja työnsivät haitallisen commitin Microsoftin Azure/durabletask-repositorioihin. GitHubin automaattiset torjuntajärjestelmät reagoivat nopeasti ja sulkivat 73 repositoriota neljässä Microsoftin GitHub-organisaatiossa vain 105 sekunnissa .
Kyse oli viikon kestäneen ohjelmistotoimitusketjuhyökkäyksen kärjistymisestä. Kampanja oli alkanut Red Hatin npm-rekisteristä ja osoitti nyt uudenlaisen kyvyn: haittaohjelma pystyi kohdistamaan hyökkäyksiä myös tekoälyavusteisiin ohjelmointityökaluihin.
Kaikki alkoi Red Hatin npm-paketeista
Tietoturvatutkijat Aikidosta ja OX Securitysta havaitsivat 1. kesäkuuta haitallista koodia -nimialueen npm-paketeissa. Paketteja käytetään muun muassa Red Hatin Hybrid Cloud Consolen yhteydessä. Kaikkiaan vaarantui 32 pakettia ja 96 haitallista versiota, joita ladattiin yhteensä noin 117 000 kertaa viikossa .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Miasma-mato sulki 73 Microsoftin GitHub-repositoriota ennätysnopeassa torjunnassa"?
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa.
What are the key points to validate first?
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa. Hyökkäys juontui Red Hatin työntekijän kaapatusta GitHub tilistä. Sen avulla saastutettiin 32 @redhat cloud services npm pakettia ja varastettiin kehittäjien tunnistetietoja.
What should I do next in practice?
Kampanja toi esiin uuden vaarallisen hyökkäysreitin: haitalliset ohjeet voitiin piilottaa asetustiedostoihin, joita Claude Code, Gemini CLI, Cursor ja VS Code lukevat.
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa.
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa.
Hyökkäys juontui Red Hatin työntekijän kaapatusta GitHub tilistä. Sen avulla saastutettiin 32 @redhat cloud services npm pakettia ja varastettiin kehittäjien tunnistetietoja.
Kampanja toi esiin uuden vaarallisen hyökkäysreitin: haitalliset ohjeet voitiin piilottaa asetustiedostoihin, joita Claude Code, Gemini CLI, Cursor ja VS Code lukevat.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Kesäkuun 5. päivänä 2026 Microsoftin GitHub-läsnäolo joutui suoraan Miasma-madon kohteeksi. Hyökkääjät käyttivät aiemmin kaapattua avustajatiliä ja työnsivät haitallisen commitin Microsoftin Azure/durabletask-repositorioihin. GitHubin automaattiset torjuntajärjestelmät reagoivat nopeasti ja sulkivat 73 repositoriota neljässä Microsoftin GitHub-organisaatiossa vain 105 sekunnissa .
Kyse oli viikon kestäneen ohjelmistotoimitusketjuhyökkäyksen kärjistymisestä. Kampanja oli alkanut Red Hatin npm-rekisteristä ja osoitti nyt uudenlaisen kyvyn: haittaohjelma pystyi kohdistamaan hyökkäyksiä myös tekoälyavusteisiin ohjelmointityökaluihin.
Kaikki alkoi Red Hatin npm-paketeista
Tietoturvatutkijat Aikidosta ja OX Securitysta havaitsivat 1. kesäkuuta haitallista koodia -nimialueen npm-paketeissa. Paketteja käytetään muun muassa Red Hatin Hybrid Cloud Consolen yhteydessä. Kaikkiaan vaarantui 32 pakettia ja 96 haitallista versiota, joita ladattiin yhteensä noin 117 000 kertaa viikossa .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Miasma-mato sulki 73 Microsoftin GitHub-repositoriota ennätysnopeassa torjunnassa"?
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa.
What are the key points to validate first?
Kesäkuun 5. päivänä 2026 Miasma mato levisi Microsoftin GitHub organisaatioihin, minkä seurauksena GitHub sulki automaattisesti 73 repositoriota 105 sekunnissa. Hyökkäys juontui Red Hatin työntekijän kaapatusta GitHub tilistä. Sen avulla saastutettiin 32 @redhat cloud services npm pakettia ja varastettiin kehittäjien tunnistetietoja.
What should I do next in practice?
Kampanja toi esiin uuden vaarallisen hyökkäysreitin: haitalliset ohjeet voitiin piilottaa asetustiedostoihin, joita Claude Code, Gemini CLI, Cursor ja VS Code lukevat.
Hyökkäys ei johtunut pelkästä julkaisumerkin tai käyttöavaimen vuotamisesta. Hyökkääjät olivat kaapanneet Red Hatin työntekijän GitHub-tilin ja käyttivät sitä haitallisten commitien lisäämiseen RedHatInsights/javascript-clients-projektin CI/CD-putkeen .
Tämän ansiosta hyökkääjät pystyivät väärinkäyttämään GitHubin luotetun julkaisun mekanismia. Saastuneille npm-paketeille voitiin luoda aidolta näyttävät SLSA-provenienssitodistukset, minkä jälkeen ne julkaistiin suoraan npm-rekisteriin . SLSA on ohjelmistojen toimitusketjun alkuperää ja rakennusprosessia todentava kehys.
Vaarantuneisiin paketteihin oli lisätty preinstall-komentosarja. Se käynnistyi automaattisesti paketin asennuksen yhteydessä ja latasi noin 28 kilotavun tunnistetietoja varastavan haittaohjelman. Haittaohjelma tunnetaan Miasmana, ja sitä on kuvattu Mini Shai-Hulud -haittaohjelmaperheen uudeksi muunnokseksi. Kampanja on yhdistetty TeamPCP-uhkatoimijaan, vaikka julkisesti saatavilla olevan koodin vuoksi jäljittelijöitä ei voida sulkea pois .
Microsoftin Azure-repositoriot joutuivat seuraavaksi kohteiksi
Red Hatin tapauksessa varastettuja tunnistetietoja käytettiin myöhemmin uudelleen. Kesäkuun 5. päivänä hyökkääjät työnsivät yhden haitallisen commitin Azure/durabletask-repositorioihin aiemmin vaarantuneen avustajatilin kautta .
Repositoriossa oli ollut jo aiemmin, 19. toukokuuta, PyPI-pakettiin liittynyt vaarantuminen. Sama avustajatili yhdistettiin molempiin tapahtumiin, mikä viittaa siihen, ettei kaikkea pääsyä ollut peruttu ensimmäisen murtautumisen jälkeen .
Haitallinen commit sisälsi asetustiedostoja, jotka toimivat ansoina tekoälyavusteisille koodauspalveluille. Kun kehittäjä avasi repositorion esimerkiksi Claude Codessa, Gemini CLI:ssä, Cursorissa tai VS Codessa, työkalut saattoivat lukea tiedostot automaattisesti. Niihin piilotetut ohjeet pyrkivät käynnistämään tunnistetietoja varastavan haitallisen toiminnon .
GitHub sulki hyökkäyksen rajaamiseksi repositorioita seuraavista organisaatioista :
Azure, mukaan lukien Azure Functions Action -kokonaisuus
Azure-Samples
Microsoft
MicrosoftDocs
Suljetuissa repositorioissa näkyi harmaa ilmoitus: ”This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub's terms of service” .
Näin Miasma levisi
Miasma yhdisti perinteisen ohjelmistotoimitusketjun saastuttamisen, tunnistetietojen varastamisen ja automaattisen leviämisen. Microsoft-vaiheessa mukaan tuli lisäksi tekoälytyökaluihin kohdistuva ohjeinjektio.
npm-rekisterin saastuttaminen: Haitalliset paketit sisälsivät preinstall-skriptejä, jotka käynnistyivät heti npm install -komennon yhteydessä .
Itsestään leviävä mato: Tartunnan saaneelta kehittäjän koneelta haittaohjelma keräsi muun muassa GitHub- ja npm-tunnisteita. Niiden avulla se pystyi lisäämään haitallista koodia muihin repositorioihin, joihin uhrilla oli julkaisuoikeudet .
Laaja tunnistetietojen keruu: Kohteina olivat AWS:n, Azuren ja GCP:n tunnistetiedot, Kubernetes, HashiCorp Vault, yli 90 kehittäjätyökalun asetukset, SSH-avaimet, ympäristömuuttujat, kryptolompakot sekä tekoälytyökalujen pysyvyystiedot .
Luotetun julkaisun väärinkäyttö: Kaapattu työntekijätili mahdollisti GitHubin OIDC-pohjaisen julkaisuketjun väärinkäytön. Haitalliset paketit näyttivät siksi sisältävän aidot alkuperätodisteet .
Tekoälyagenttien ohjaaminen: Microsoftin repositorioihin piilotetut asetukset pyrkivät saamaan tekoälyavustajat suorittamaan hyökkääjän määrittämiä toimintoja ilman, että kehittäjä välttämättä huomasi riskiä .
Mitä tehtiin vahinkojen rajaamiseksi?
Torjunta vaati useiden organisaatioiden samanaikaisia toimia:
GitHub sulki 73 Microsoftin repositoriota automaattisessa 105 sekunnin torjuntatoimessa 5. kesäkuuta .
Red Hat julkaisi turvallisuustiedotteen RHSB-2026-006, perui vaarantuneet npm-tunnisteet ja julkaisuoikeudet sekä poisti haitalliset paketit rekisteristä .
Microsoft Threat Intelligence julkaisi analyysin hyökkäysketjusta ja siihen liittyvistä tunnistuskeinoista .
Tutkijat kehottivat kaikkia mahdollisesti altistuneita kehittäjiä vaihtamaan välittömästi CI-järjestelmien salaisuudet, pilvipalveluiden tunnistetiedot, SSH-avaimet ja npm-tunnisteet. Lisäksi CI/CD-putket tulisi tarkastaa luvattomien commitien varalta ja repositorioista etsiä merkkijonoa ”Miasma – The Spreading Blight”.
IronWorm osoitti, ettei kyse ollut yksittäisestä tapauksesta
Miasma ei ollut ainoa samaan aikaan havaittu uhka. Endor Labs ja StepSecurity kertoivat 5. kesäkuuta erillisestä, mutta samankaltaisesta IronWorm-kampanjasta. Siinä vaarantui 57 npm-pakettia ja yli 286 haitallista versiota, joiden avulla levitettiin uutta Miasma-muunnosta .
IronWorm-kampanjassa tutkijat havaitsivat myös binding.gyp-tiedostojen väärinkäyttöä koodin suorittamiseen paketin asennuksen aikana . Tämä osoitti, että hyökkääjät laajensivat aktiivisesti sekä kohteita että käytettyjä tekniikoita.
Cloud Security Alliance varoitti lisäksi jäljittelijöistä. Vaikka Miasma yhdistettiin TeamPCP-ryhmään, haittaohjelman taustalla oleva koodikanta oli julkaistu avoimesti. Siksi muut toimijat voivat käyttää samaa koodia tai muokattuja versioita vastaaviin hyökkäyksiin .
Miasman tapaus korostaa, ettei luotettu pakettinimi, allekirjoitus tai GitHubin julkaisuputki yksin takaa ohjelmiston turvallisuutta. Jos hyökkääjä saa haltuunsa oikean kehittäjätilin, sama luottamusketju voi toimia haitallisen koodin kuljetusreittinä — ja tekoälyavustajat voivat pahimmillaan lukea hyökkääjän ohjeet osaksi normaalia kehitystyötä.
Hyökkäys ei johtunut pelkästä julkaisumerkin tai käyttöavaimen vuotamisesta. Hyökkääjät olivat kaapanneet Red Hatin työntekijän GitHub-tilin ja käyttivät sitä haitallisten commitien lisäämiseen RedHatInsights/javascript-clients-projektin CI/CD-putkeen .
Tämän ansiosta hyökkääjät pystyivät väärinkäyttämään GitHubin luotetun julkaisun mekanismia. Saastuneille npm-paketeille voitiin luoda aidolta näyttävät SLSA-provenienssitodistukset, minkä jälkeen ne julkaistiin suoraan npm-rekisteriin . SLSA on ohjelmistojen toimitusketjun alkuperää ja rakennusprosessia todentava kehys.
Vaarantuneisiin paketteihin oli lisätty preinstall-komentosarja. Se käynnistyi automaattisesti paketin asennuksen yhteydessä ja latasi noin 28 kilotavun tunnistetietoja varastavan haittaohjelman. Haittaohjelma tunnetaan Miasmana, ja sitä on kuvattu Mini Shai-Hulud -haittaohjelmaperheen uudeksi muunnokseksi. Kampanja on yhdistetty TeamPCP-uhkatoimijaan, vaikka julkisesti saatavilla olevan koodin vuoksi jäljittelijöitä ei voida sulkea pois .
Microsoftin Azure-repositoriot joutuivat seuraavaksi kohteiksi
Red Hatin tapauksessa varastettuja tunnistetietoja käytettiin myöhemmin uudelleen. Kesäkuun 5. päivänä hyökkääjät työnsivät yhden haitallisen commitin Azure/durabletask-repositorioihin aiemmin vaarantuneen avustajatilin kautta .
Repositoriossa oli ollut jo aiemmin, 19. toukokuuta, PyPI-pakettiin liittynyt vaarantuminen. Sama avustajatili yhdistettiin molempiin tapahtumiin, mikä viittaa siihen, ettei kaikkea pääsyä ollut peruttu ensimmäisen murtautumisen jälkeen .
Haitallinen commit sisälsi asetustiedostoja, jotka toimivat ansoina tekoälyavusteisille koodauspalveluille. Kun kehittäjä avasi repositorion esimerkiksi Claude Codessa, Gemini CLI:ssä, Cursorissa tai VS Codessa, työkalut saattoivat lukea tiedostot automaattisesti. Niihin piilotetut ohjeet pyrkivät käynnistämään tunnistetietoja varastavan haitallisen toiminnon .
GitHub sulki hyökkäyksen rajaamiseksi repositorioita seuraavista organisaatioista :
Azure, mukaan lukien Azure Functions Action -kokonaisuus
Azure-Samples
Microsoft
MicrosoftDocs
Suljetuissa repositorioissa näkyi harmaa ilmoitus: ”This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub's terms of service” .
Näin Miasma levisi
Miasma yhdisti perinteisen ohjelmistotoimitusketjun saastuttamisen, tunnistetietojen varastamisen ja automaattisen leviämisen. Microsoft-vaiheessa mukaan tuli lisäksi tekoälytyökaluihin kohdistuva ohjeinjektio.
npm-rekisterin saastuttaminen: Haitalliset paketit sisälsivät preinstall-skriptejä, jotka käynnistyivät heti npm install -komennon yhteydessä .
Itsestään leviävä mato: Tartunnan saaneelta kehittäjän koneelta haittaohjelma keräsi muun muassa GitHub- ja npm-tunnisteita. Niiden avulla se pystyi lisäämään haitallista koodia muihin repositorioihin, joihin uhrilla oli julkaisuoikeudet .
Laaja tunnistetietojen keruu: Kohteina olivat AWS:n, Azuren ja GCP:n tunnistetiedot, Kubernetes, HashiCorp Vault, yli 90 kehittäjätyökalun asetukset, SSH-avaimet, ympäristömuuttujat, kryptolompakot sekä tekoälytyökalujen pysyvyystiedot .
Luotetun julkaisun väärinkäyttö: Kaapattu työntekijätili mahdollisti GitHubin OIDC-pohjaisen julkaisuketjun väärinkäytön. Haitalliset paketit näyttivät siksi sisältävän aidot alkuperätodisteet .
Tekoälyagenttien ohjaaminen: Microsoftin repositorioihin piilotetut asetukset pyrkivät saamaan tekoälyavustajat suorittamaan hyökkääjän määrittämiä toimintoja ilman, että kehittäjä välttämättä huomasi riskiä .
Mitä tehtiin vahinkojen rajaamiseksi?
Torjunta vaati useiden organisaatioiden samanaikaisia toimia:
GitHub sulki 73 Microsoftin repositoriota automaattisessa 105 sekunnin torjuntatoimessa 5. kesäkuuta .
Red Hat julkaisi turvallisuustiedotteen RHSB-2026-006, perui vaarantuneet npm-tunnisteet ja julkaisuoikeudet sekä poisti haitalliset paketit rekisteristä .
Microsoft Threat Intelligence julkaisi analyysin hyökkäysketjusta ja siihen liittyvistä tunnistuskeinoista .
Tutkijat kehottivat kaikkia mahdollisesti altistuneita kehittäjiä vaihtamaan välittömästi CI-järjestelmien salaisuudet, pilvipalveluiden tunnistetiedot, SSH-avaimet ja npm-tunnisteet. Lisäksi CI/CD-putket tulisi tarkastaa luvattomien commitien varalta ja repositorioista etsiä merkkijonoa ”Miasma – The Spreading Blight”.
IronWorm osoitti, ettei kyse ollut yksittäisestä tapauksesta
Miasma ei ollut ainoa samaan aikaan havaittu uhka. Endor Labs ja StepSecurity kertoivat 5. kesäkuuta erillisestä, mutta samankaltaisesta IronWorm-kampanjasta. Siinä vaarantui 57 npm-pakettia ja yli 286 haitallista versiota, joiden avulla levitettiin uutta Miasma-muunnosta .
IronWorm-kampanjassa tutkijat havaitsivat myös binding.gyp-tiedostojen väärinkäyttöä koodin suorittamiseen paketin asennuksen aikana . Tämä osoitti, että hyökkääjät laajensivat aktiivisesti sekä kohteita että käytettyjä tekniikoita.
Cloud Security Alliance varoitti lisäksi jäljittelijöistä. Vaikka Miasma yhdistettiin TeamPCP-ryhmään, haittaohjelman taustalla oleva koodikanta oli julkaistu avoimesti. Siksi muut toimijat voivat käyttää samaa koodia tai muokattuja versioita vastaaviin hyökkäyksiin .
Miasman tapaus korostaa, ettei luotettu pakettinimi, allekirjoitus tai GitHubin julkaisuputki yksin takaa ohjelmiston turvallisuutta. Jos hyökkääjä saa haltuunsa oikean kehittäjätilin, sama luottamusketju voi toimia haitallisen koodin kuljetusreittinä — ja tekoälyavustajat voivat pahimmillaan lukea hyökkääjän ohjeet osaksi normaalia kehitystyötä.
