Miasma-mato iski Microsoftin GitHubiin – näin 73 koodivarastoa kaatui 105 sekunnissa
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5. Hyökkäysketju sai alkunsa 1. kesäkuuta, kun Red Hatin npm paketteihin oli piilotettu takaovia.
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5.
Hyökkäysketju sai alkunsa 1. kesäkuuta, kun Red Hatin npm paketteihin oli piilotettu takaovia.
Vaste sisälsi repositorioiden välittömän käytöstä poiston ja täydellisen palautuksen 8.
What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating MiaAn artistic representation of the Miasma worm infiltrating Microsoft's GitHub ecosystem through AI coding tools.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating Mia. Article summary: Here is a comprehensive breakdown of the Miasma malware attack on Microsoft's GitHub repositories.. Topic tags: general, general web, user generated, education. Reference image context from search candidates: Reference image 1: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers described as a supply chain attack aimed at developer w" source context "Supply Chain Attack Hits Microsoft GitHub Repos, AI Coding Tools" Reference image 2: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers d
openai.com
Kesäkuun 5. päivänä 2026 kyberturvallisuus koki käännekohdan. Itseään kopioiva Miasma-mato pakotti GitHubin sulkemaan 73 Microsoftin omistamaa repositoriota vain 105 sekunnissa. Tämä ei ollut pikkumainen koodinjektio, vaan hienostunut toimitusketjuhyökkäys, joka valjasti aseeksi juuri ne työkalut, joihin kehittäjät eniten luottavat – heidän tekoälypohjaiset koodausavustajansa.
Hyökkäyksen kohteena olleet repositoriot kattoivat neljä Microsoftin ydinorganisaatiota: Azure, Azure-Samples, Microsoft ja MicrosoftDocs. Tapausta pidetään hetkenä, jolloin pelkkä koodivaraston avaaminen tekoälyavusteisessa ympäristössä muuttui valtuustietojen varastamisen laukaisimeksi.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Miasma-mato iski Microsoftin GitHubiin – näin 73 koodivarastoa kaatui 105 sekunnissa"?
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5.
What are the key points to validate first?
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5. Hyökkäysketju sai alkunsa 1. kesäkuuta, kun Red Hatin npm paketteihin oli piilotettu takaovia.
What should I do next in practice?
Vaste sisälsi repositorioiden välittömän käytöstä poiston ja täydellisen palautuksen 8.
Miasma-mato iski Microsoftin GitHubiin – näin 73 koodivarastoa kaatui 105 sekunnissa
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5. Hyökkäysketju sai alkunsa 1. kesäkuuta, kun Red Hatin npm paketteihin oli piilotettu takaovia.
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5.
Hyökkäysketju sai alkunsa 1. kesäkuuta, kun Red Hatin npm paketteihin oli piilotettu takaovia.
Vaste sisälsi repositorioiden välittömän käytöstä poiston ja täydellisen palautuksen 8.
What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating MiaAn artistic representation of the Miasma worm infiltrating Microsoft's GitHub ecosystem through AI coding tools.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating Mia. Article summary: Here is a comprehensive breakdown of the Miasma malware attack on Microsoft's GitHub repositories.. Topic tags: general, general web, user generated, education. Reference image context from search candidates: Reference image 1: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers described as a supply chain attack aimed at developer w" source context "Supply Chain Attack Hits Microsoft GitHub Repos, AI Coding Tools" Reference image 2: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers d
openai.com
Kesäkuun 5. päivänä 2026 kyberturvallisuus koki käännekohdan. Itseään kopioiva Miasma-mato pakotti GitHubin sulkemaan 73 Microsoftin omistamaa repositoriota vain 105 sekunnissa. Tämä ei ollut pikkumainen koodinjektio, vaan hienostunut toimitusketjuhyökkäys, joka valjasti aseeksi juuri ne työkalut, joihin kehittäjät eniten luottavat – heidän tekoälypohjaiset koodausavustajansa.
Hyökkäyksen kohteena olleet repositoriot kattoivat neljä Microsoftin ydinorganisaatiota: Azure, Azure-Samples, Microsoft ja MicrosoftDocs. Tapausta pidetään hetkenä, jolloin pelkkä koodivaraston avaaminen tekoälyavusteisessa ympäristössä muuttui valtuustietojen varastamisen laukaisimeksi.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Miasma-mato iski Microsoftin GitHubiin – näin 73 koodivarastoa kaatui 105 sekunnissa"?
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5.
What are the key points to validate first?
Miasma mato, itseään kopioiva haittaohjelma, kaatoi 73 Microsoftin GitHub repositoriota 5. Hyökkäysketju sai alkunsa 1. kesäkuuta, kun Red Hatin npm paketteihin oli piilotettu takaovia.
What should I do next in practice?
Vaste sisälsi repositorioiden välittömän käytöstä poiston ja täydellisen palautuksen 8.
Miten hyökkäys eteni: Tekoälytyökalut liipaisimena
Hyökkäyksen uutuusarvo oli sen toteutuspolussa, joka ohitti perinteiset turvatarkastukset muuttamalla kehittäjätyökalut hyökkäysvektoreiksi.
Sisäänpääsy: Murto alkoi haitallisella commitilla, joka työnnettiin Azure/durabletask-repositorioon aiemmin vaarantunutta avustajatiliä käyttäen . Havaitsemisen välttämiseksi commit oli otsikoitu "Switched DataConverter to OrchestrationContext [skip ci]" ja sen metatiedot oli takautuvasti päivätty maaliskuulle 2020 .
Hyötykuorman toimitus tekoälyavustajien kautta: Commit ei muuttanut perinteistä lähdekoodia. Sen sijaan se istutti konfiguraatiotiedostoja, kuten asetuksia työkaluille Claude Code, Gemini CLI ja Cursor. Kun kehittäjä avasi saastuneen repositorion näissä työkaluissa tai Visual Studio Codessa (VS Code), ne lukivat konfiguraatiotiedostot automaattisesti ja suorittivat piilotetun valtuustiedot keräävän hyötykuorman .
Mitä varastettiin: Kun mato oli käynnistynyt, se keräsi laajan valikoiman kriittisiä valtuustietoja kehittäjän koneelta ja siihen liittyvistä ympäristöistä. Kohteena olivat muun muassa AWS:n, GCP:n, Azuren, HashiCorp Vaultin, Kubernetesin ja GitHub Actionsin kirjautumistiedot .
Itsensä kopiointi: Varastettuaan valtuustiedot mato käytti niitä työntääkseen saman haitallisen commitin muihin repositorioihin, joihin uhrilla oli pääsy. Tämä mahdollisti nopean leviämisen useiden organisaatioiden välillä .
Alkuperä: Red Hat npm -murto
Microsoftin GitHub-tapaus oli viimeinen näytös kampanjassa, joka alkoi päiviä aiemmin avoimen lähdekoodin ohjelmistojen toimitusketjussa.
Kesäkuun 1. päivänä 2026 hyökkääjät käyttivät varastettua Red Hat -työntekijän GitHub-tiliä julkaistakseen takaportillisia versioita 32 virallisesta @redhat-cloud-services npm-paketista, jotka kattoivat yli 90 versiota . Microsoftin uhkatiedustelu jäljitti murron alkuperän ylävirran RedHatInsights/javascript-clients CI/CD-putkeen, mikä antoi hyökkääjille mahdollisuuden julkaista troijalaisia paketteja aidonnäköisillä alkuperätodistuksilla . Nämä haitalliset paketit sisälsivät peitetyn esiasennusskriptin, joka suoritti valtuustietovarkaan asennuksen yhteydessä luoden pohjan laajemmalle Miasma-hyökkäykselle .
Vaste ja jälkihoito
Vaste hyökkäykseen oli nopea ja päättäväinen, mutta tapauksen seuraukset ovat syvällisiä.
Välitön käytöstä poisto: GitHubin automatisoidut väärinkäytöksen havainnointijärjestelmät poistivat käytöstä kaikki 73 saastunutta repositoriota kahdessa erillisessä aallossa, estäen julkisen pääsyn ja näyttäen "käyttöehtojen rikkomus" -ilmoituksen .
Palautus ja korjaus: Microsoft palautti kaikki vahingoittuneet repositoriot täysin 8. kesäkuuta mennessä ja ilmoitti asiasta vaikutuksen kohteena olleille asiakkaille . Keskeinen havainto oli, että hyökkääjä käytti uudelleen vaihtamatta jääneitä GitHub Actions -salaisuuksia pääsyn ylläpitämiseen ja laajentamiseen, mikä viittaa siihen, ettei aiempaa tietomurtoa ollut puhdistettu täysin .
Syvempi juurisyy: Tutkimukset paljastivat, että kesäkuun 5. päivän hyökkäyksessä käytetyt varastetut valtuustiedot olivat olleet aktiivisissa varastettujen tietojen lokeissa 48 päivää ennen aseistamista. Tämä osoittaa pitkäaikaisen tunkeutumisen, joka edelsi madon aktivoitumista .
Jäljitys: Shai-Hulud-perintö ja kopioijien ongelma
Miasma on suora jälkeläinen Mini Shai-Hulud -matoviitekehykselle, työkalupakille, jonka loi TeamPCP-nimellä tunnettu uhkatoimijaryhmä . TeamPCP:n aiempi kampanja, joka paljastettiin 12. toukokuuta 2026, oli jo vaarantanut yli 170 npm- ja PyPI-pakettia, joilla oli yhteensä yli 518 miljoonaa kumulatiivista latausta. Kampanja kohdistui suoraan tekoälykehittäjien kirjastoihin .
Tilannetta mutkistaa entisestään se, että TeamPCP julkaisi Mini Shai-Hulud -viitekehyksen avoimena lähdekoodina. Tämä tarkoittaa, että tuntemattomalla määrällä kopioijia on pääsy samaan koodipohjaan. Vaikka tekniikat ja koodi yhdistävät Miasman vahvasti TeamPCP:n perintöön, useat tietoturvatutkijat varoittavat, ettei varmaa attribuutiota alkuperäiseen ryhmään voida tehdä, sillä kuka tahansa avoimen työkalupakin haltuunsa saanut toimija on voinut olla tämän hyökkäysaallon takana .
Tietoturvasuositukset kehittäjille
Miasma-hyökkäys määrittelee turvallisuusrajat täysin uudelleen. Koodirepositorion avaaminen ei ole enää passiivinen, turvallinen toimenpide. Tutkijat ovat koonneet useita keskeisiä suosituksia:
Kumoa ja kierrätä kaikki: Vaihda välittömästi kaikki GitHub Actions -tokenit, pilvipalveluiden valtuustiedot, npm-julkaisutokenit ja kaikki muut salaisuudet, jotka ovat voineet paljastua CI/CD-lokien, saastuneiden repositorioiden tai varastettujen tietolokien kautta .
Vaadi tiukka monivaiheinen tunnistautuminen (MFA): Ota käyttöön monivaiheinen tunnistautuminen, mieluiten laitteistopohjaisilla suojausavaimilla, kaikille avustajatilille estääksesi valtuustietoihin perustuvat murrot .
Puhdista tekoälytyökalujen luottamusrajat: Käsittele epäluotettavia repositorioita kuin tuntematonta binääriä. Määritä tekoälypohjaiset koodausagentit (Claude Code, Cursor, Gemini CLI, VS Code) siten, etteivät ne automaattisesti suorita tai lue konfiguraatiotiedostoja repositorioista .
Koveta CI/CD-putket: Auditoi GitHub Actions -työnkulut rajoittaaksesi kirjoitusoikeuksia Actions-tokeneilla, poista käyttämättömät tokenit ja pakota lyhytikäisten valtuustietojen käyttö .
Vahvista toimitusketjun hygienia: Käytä riippuvuuksien skannaustyökaluja, tuota SBOM (Software Bill of Materials) ja varmista pakettien alkuperä ennen asennusta. Tarkkaile paketteja peitettyjen esi- tai jälkiasennusskriptien varalta .
Miten hyökkäys eteni: Tekoälytyökalut liipaisimena
Hyökkäyksen uutuusarvo oli sen toteutuspolussa, joka ohitti perinteiset turvatarkastukset muuttamalla kehittäjätyökalut hyökkäysvektoreiksi.
Sisäänpääsy: Murto alkoi haitallisella commitilla, joka työnnettiin Azure/durabletask-repositorioon aiemmin vaarantunutta avustajatiliä käyttäen . Havaitsemisen välttämiseksi commit oli otsikoitu "Switched DataConverter to OrchestrationContext [skip ci]" ja sen metatiedot oli takautuvasti päivätty maaliskuulle 2020 .
Hyötykuorman toimitus tekoälyavustajien kautta: Commit ei muuttanut perinteistä lähdekoodia. Sen sijaan se istutti konfiguraatiotiedostoja, kuten asetuksia työkaluille Claude Code, Gemini CLI ja Cursor. Kun kehittäjä avasi saastuneen repositorion näissä työkaluissa tai Visual Studio Codessa (VS Code), ne lukivat konfiguraatiotiedostot automaattisesti ja suorittivat piilotetun valtuustiedot keräävän hyötykuorman .
Mitä varastettiin: Kun mato oli käynnistynyt, se keräsi laajan valikoiman kriittisiä valtuustietoja kehittäjän koneelta ja siihen liittyvistä ympäristöistä. Kohteena olivat muun muassa AWS:n, GCP:n, Azuren, HashiCorp Vaultin, Kubernetesin ja GitHub Actionsin kirjautumistiedot .
Itsensä kopiointi: Varastettuaan valtuustiedot mato käytti niitä työntääkseen saman haitallisen commitin muihin repositorioihin, joihin uhrilla oli pääsy. Tämä mahdollisti nopean leviämisen useiden organisaatioiden välillä .
Alkuperä: Red Hat npm -murto
Microsoftin GitHub-tapaus oli viimeinen näytös kampanjassa, joka alkoi päiviä aiemmin avoimen lähdekoodin ohjelmistojen toimitusketjussa.
Kesäkuun 1. päivänä 2026 hyökkääjät käyttivät varastettua Red Hat -työntekijän GitHub-tiliä julkaistakseen takaportillisia versioita 32 virallisesta @redhat-cloud-services npm-paketista, jotka kattoivat yli 90 versiota . Microsoftin uhkatiedustelu jäljitti murron alkuperän ylävirran RedHatInsights/javascript-clients CI/CD-putkeen, mikä antoi hyökkääjille mahdollisuuden julkaista troijalaisia paketteja aidonnäköisillä alkuperätodistuksilla . Nämä haitalliset paketit sisälsivät peitetyn esiasennusskriptin, joka suoritti valtuustietovarkaan asennuksen yhteydessä luoden pohjan laajemmalle Miasma-hyökkäykselle .
Vaste ja jälkihoito
Vaste hyökkäykseen oli nopea ja päättäväinen, mutta tapauksen seuraukset ovat syvällisiä.
Välitön käytöstä poisto: GitHubin automatisoidut väärinkäytöksen havainnointijärjestelmät poistivat käytöstä kaikki 73 saastunutta repositoriota kahdessa erillisessä aallossa, estäen julkisen pääsyn ja näyttäen "käyttöehtojen rikkomus" -ilmoituksen .
Palautus ja korjaus: Microsoft palautti kaikki vahingoittuneet repositoriot täysin 8. kesäkuuta mennessä ja ilmoitti asiasta vaikutuksen kohteena olleille asiakkaille . Keskeinen havainto oli, että hyökkääjä käytti uudelleen vaihtamatta jääneitä GitHub Actions -salaisuuksia pääsyn ylläpitämiseen ja laajentamiseen, mikä viittaa siihen, ettei aiempaa tietomurtoa ollut puhdistettu täysin .
Syvempi juurisyy: Tutkimukset paljastivat, että kesäkuun 5. päivän hyökkäyksessä käytetyt varastetut valtuustiedot olivat olleet aktiivisissa varastettujen tietojen lokeissa 48 päivää ennen aseistamista. Tämä osoittaa pitkäaikaisen tunkeutumisen, joka edelsi madon aktivoitumista .
Jäljitys: Shai-Hulud-perintö ja kopioijien ongelma
Miasma on suora jälkeläinen Mini Shai-Hulud -matoviitekehykselle, työkalupakille, jonka loi TeamPCP-nimellä tunnettu uhkatoimijaryhmä . TeamPCP:n aiempi kampanja, joka paljastettiin 12. toukokuuta 2026, oli jo vaarantanut yli 170 npm- ja PyPI-pakettia, joilla oli yhteensä yli 518 miljoonaa kumulatiivista latausta. Kampanja kohdistui suoraan tekoälykehittäjien kirjastoihin .
Tilannetta mutkistaa entisestään se, että TeamPCP julkaisi Mini Shai-Hulud -viitekehyksen avoimena lähdekoodina. Tämä tarkoittaa, että tuntemattomalla määrällä kopioijia on pääsy samaan koodipohjaan. Vaikka tekniikat ja koodi yhdistävät Miasman vahvasti TeamPCP:n perintöön, useat tietoturvatutkijat varoittavat, ettei varmaa attribuutiota alkuperäiseen ryhmään voida tehdä, sillä kuka tahansa avoimen työkalupakin haltuunsa saanut toimija on voinut olla tämän hyökkäysaallon takana .
Tietoturvasuositukset kehittäjille
Miasma-hyökkäys määrittelee turvallisuusrajat täysin uudelleen. Koodirepositorion avaaminen ei ole enää passiivinen, turvallinen toimenpide. Tutkijat ovat koonneet useita keskeisiä suosituksia:
Kumoa ja kierrätä kaikki: Vaihda välittömästi kaikki GitHub Actions -tokenit, pilvipalveluiden valtuustiedot, npm-julkaisutokenit ja kaikki muut salaisuudet, jotka ovat voineet paljastua CI/CD-lokien, saastuneiden repositorioiden tai varastettujen tietolokien kautta .
Vaadi tiukka monivaiheinen tunnistautuminen (MFA): Ota käyttöön monivaiheinen tunnistautuminen, mieluiten laitteistopohjaisilla suojausavaimilla, kaikille avustajatilille estääksesi valtuustietoihin perustuvat murrot .
Puhdista tekoälytyökalujen luottamusrajat: Käsittele epäluotettavia repositorioita kuin tuntematonta binääriä. Määritä tekoälypohjaiset koodausagentit (Claude Code, Cursor, Gemini CLI, VS Code) siten, etteivät ne automaattisesti suorita tai lue konfiguraatiotiedostoja repositorioista .
Koveta CI/CD-putket: Auditoi GitHub Actions -työnkulut rajoittaaksesi kirjoitusoikeuksia Actions-tokeneilla, poista käyttämättömät tokenit ja pakota lyhytikäisten valtuustietojen käyttö .
Vahvista toimitusketjun hygienia: Käytä riippuvuuksien skannaustyökaluja, tuota SBOM (Software Bill of Materials) ja varmista pakettien alkuperä ennen asennusta. Tarkkaile paketteja peitettyjen esi- tai jälkiasennusskriptien varalta .
stepsecurity.ioMiasma Worm Hits Microsoft Again: Azure Functions Action ...
opensourcemalware.comThe Blight Reaches Microsoft: 73 Repos Disabled in 105 ...
thehackernews.comMiasma Worm Hits 73 Microsoft GitHub Repositories in Major ...
threatlocker.comMiasma worm targets Microsoft, compromises 73 GitHub repositories
