Miasma-mato iski Microsoftin GitHubiin – näin 73 koodivarastoa kaatui 105 sekunnissa

Alkuperä: Red Hat npm -murto

Microsoftin GitHub-tapaus oli viimeinen näytös kampanjassa, joka alkoi päiviä aiemmin avoimen lähdekoodin ohjelmistojen toimitusketjussa.

Kesäkuun 1. päivänä 2026 hyökkääjät käyttivät varastettua Red Hat -työntekijän GitHub-tiliä julkaistakseen takaportillisia versioita 32 virallisesta @redhat-cloud-services npm-paketista, jotka kattoivat yli 90 versiota . Microsoftin uhkatiedustelu jäljitti murron alkuperän ylävirran RedHatInsights/javascript-clients CI/CD-putkeen, mikä antoi hyökkääjille mahdollisuuden julkaista troijalaisia paketteja aidonnäköisillä alkuperätodistuksilla . Nämä haitalliset paketit sisälsivät peitetyn esiasennusskriptin, joka suoritti valtuustietovarkaan asennuksen yhteydessä luoden pohjan laajemmalle Miasma-hyökkäykselle .

Vaste ja jälkihoito

Vaste hyökkäykseen oli nopea ja päättäväinen, mutta tapauksen seuraukset ovat syvällisiä.

• Välitön käytöstä poisto: GitHubin automatisoidut väärinkäytöksen havainnointijärjestelmät poistivat käytöstä kaikki 73 saastunutta repositoriota kahdessa erillisessä aallossa, estäen julkisen pääsyn ja näyttäen "käyttöehtojen rikkomus" -ilmoituksen .
• Palautus ja korjaus: Microsoft palautti kaikki vahingoittuneet repositoriot täysin 8. kesäkuuta mennessä ja ilmoitti asiasta vaikutuksen kohteena olleille asiakkaille . Keskeinen havainto oli, että hyökkääjä käytti uudelleen vaihtamatta jääneitä GitHub Actions -salaisuuksia pääsyn ylläpitämiseen ja laajentamiseen, mikä viittaa siihen, ettei aiempaa tietomurtoa ollut puhdistettu täysin .
• Syvempi juurisyy: Tutkimukset paljastivat, että kesäkuun 5. päivän hyökkäyksessä käytetyt varastetut valtuustiedot olivat olleet aktiivisissa varastettujen tietojen lokeissa 48 päivää ennen aseistamista. Tämä osoittaa pitkäaikaisen tunkeutumisen, joka edelsi madon aktivoitumista .

Jäljitys: Shai-Hulud-perintö ja kopioijien ongelma

Miasma on suora jälkeläinen Mini Shai-Hulud -matoviitekehykselle, työkalupakille, jonka loi TeamPCP-nimellä tunnettu uhkatoimijaryhmä . TeamPCP:n aiempi kampanja, joka paljastettiin 12. toukokuuta 2026, oli jo vaarantanut yli 170 npm- ja PyPI-pakettia, joilla oli yhteensä yli 518 miljoonaa kumulatiivista latausta. Kampanja kohdistui suoraan tekoälykehittäjien kirjastoihin .

Tilannetta mutkistaa entisestään se, että TeamPCP julkaisi Mini Shai-Hulud -viitekehyksen avoimena lähdekoodina . Tämä tarkoittaa, että tuntemattomalla määrällä kopioijia on pääsy samaan koodipohjaan. Vaikka tekniikat ja koodi yhdistävät Miasman vahvasti TeamPCP:n perintöön, useat tietoturvatutkijat varoittavat, ettei varmaa attribuutiota alkuperäiseen ryhmään voida tehdä, sillä kuka tahansa avoimen työkalupakin haltuunsa saanut toimija on voinut olla tämän hyökkäysaallon takana .

Tietoturvasuositukset kehittäjille

Miasma-hyökkäys määrittelee turvallisuusrajat täysin uudelleen. Koodirepositorion avaaminen ei ole enää passiivinen, turvallinen toimenpide. Tutkijat ovat koonneet useita keskeisiä suosituksia:

• Kumoa ja kierrätä kaikki: Vaihda välittömästi kaikki GitHub Actions -tokenit, pilvipalveluiden valtuustiedot, npm-julkaisutokenit ja kaikki muut salaisuudet, jotka ovat voineet paljastua CI/CD-lokien, saastuneiden repositorioiden tai varastettujen tietolokien kautta .
• Vaadi tiukka monivaiheinen tunnistautuminen (MFA): Ota käyttöön monivaiheinen tunnistautuminen, mieluiten laitteistopohjaisilla suojausavaimilla, kaikille avustajatilille estääksesi valtuustietoihin perustuvat murrot .
• Puhdista tekoälytyökalujen luottamusrajat: Käsittele epäluotettavia repositorioita kuin tuntematonta binääriä. Määritä tekoälypohjaiset koodausagentit (Claude Code, Cursor, Gemini CLI, VS Code) siten, etteivät ne automaattisesti suorita tai lue konfiguraatiotiedostoja repositorioista .
• Koveta CI/CD-putket: Auditoi GitHub Actions -työnkulut rajoittaaksesi kirjoitusoikeuksia Actions-tokeneilla, poista käyttämättömät tokenit ja pakota lyhytikäisten valtuustietojen käyttö .
• Vahvista toimitusketjun hygienia: Käytä riippuvuuksien skannaustyökaluja, tuota SBOM (Software Bill of Materials) ja varmista pakettien alkuperä ennen asennusta. Tarkkaile paketteja peitettyjen esi- tai jälkiasennusskriptien varalta .