איך התגלגלה המתקפה: כלי AI כטריגר

הייחודיות של המתקפה טמונה בנתיב הביצוע שלה, אשר עקף בדיקות אבטחה מסורתיות על ידי הפיכת כלי הפיתוח לנתיבי תקיפה. להלן שלבי המפתח:

• נקודת הכניסה: הפריצה החלה בקומיט זדוני שהועלה למאגר Azure/durabletask תוך שימוש בחשבון של משתתף (contributor) שנפרץ בעבר . כדי לחמוק מגילוי, כותרת הקומיט הייתה "Switched DataConverter to OrchestrationContext [skip ci]" והמטא-דאטה שלו תוארך לאחור למרץ 2020 .
• העברת המטען דרך עוזרי AI: הקומיט לא שינה קוד מקור מסורתי. במקום זאת, הוא שתל קבצי תצורה (configuration files), כמו הגדרות ל-Claude Code, Gemini CLI ו-Cursor . כאשר מפתח פתח את המאגר הנגוע ב-Claude Code, Gemini CLI, Cursor, או Visual Studio Code (VS Code) , כלי ה-AI הללו קראו אוטומטית את קבצי התצורה, ובכך הריצו מטען נסתר לאיסוף אישורי גישה (credential-harvesting payload) .
• מה נגנב? עם הפעלתו, התולעת אספה מגוון רחב של אישורי גישה קריטיים ממחשב המפתח ומהסביבות המשויכות אליו, כולל מפתחות ל-AWS, GCP, Azure, HashiCorp Vault, Kubernetes ו-GitHub Actions .
• שכפול עצמי: לאחר גניבת האישורים, התולעת השתמשה בהם כדי לדחוף את אותו קומיט זדוני למאגרים אחרים שהקורבן היה בעל גישה אליהם, מה שאפשר לה להתפשט במהירות על פני ארגונים מרובים .

המקור: הפריצה לחבילות npm של Red Hat

האירוע בגיטהאב של מיקרוסופט היה המערכה האחרונה בקמפיין שהחל ימים ספורים קודם לכן בשרשרת אספקת תוכנת הקוד הפתוח.

ב-1 ביוני 2026, תוקפים עשו שימוש בחשבון גיטהאב גנוב של עובד Red Hat כדי לפרסם גרסאות נגועות של 32 חבילות npm רשמיות - @redhat-cloud-services, שהקיפו למעלה מ-90 גרסאות . צוות Microsoft Threat Intelligence עקב אחר מקור הפריצה לצינור ה-CI/CD (Continuous Integration and Continuous Delivery) של RedHatInsights/javascript-clients, מה שאיפשר לתוקפים לפרסם חבילות נגועות עם חתימות מקור (provenance signatures) לגיטימיות למראה . חבילות זדוניות אלו הכילו סקריפט preinstall מוצפן אשר הריץ גונב אישורי גישה (credential stealer) בעת ההתקנה, ובכך הניחו את התשתית להתפשטות הרחבה יותר של Miasma .

תגובה ובלימה

התגובה למתקפה הייתה מהירה ונחרצת, אך ההשלכות של האירוע עמוקות.

• השבתה מיידית: מערכות זיהוי השימוש לרעה האוטומטיות של GitHub השביתו את כל 74 המאגרים הנגועים בשני גלים נפרדים, חסמו מיידית גישה ציבורית והציגו הודעת "הפרת תנאי שימוש" .
• התאוששות ותיקון: מיקרוסופט שיחזרה במלואם את כל המאגרים שנפגעו עד 8 ביוני ויידעה את הלקוחות המושפעים . ממצא מרכזי היה שהתוקף עשה שימוש חוזר ב-סודות (Secrets) של GitHub Actions שלא רועננו כדי לשמר ולהרחיב את הגישה, מה שמצביע על כך שפריצה קודמת לא נוקתה באופן מלא .
• שורש עמוק יותר: חקירות גילו שאישורי הגישה הגנובים ששימשו במתקפה ב-5 ביוני נמצאו ביומני גניבה פעילים (stealer logs) במשך 48 ימים לפני ששימשו כנשק, מה שמדגיש חדירה ממושכת שקדמה להפעלת התולעת .

שיוך (Attribution): מורשת Shai-Hulud ובעיית המחקים

Miasma היא צאצא ישיר של תשתית Mini Shai-Hulud, ארגז כלים שיצרה קבוצת האיום הידועה בשם TeamPCP . קמפיין מוקדם יותר של TeamPCP, שנחשף ב-12 במאי 2026, כבר פגע בלמעלה מ-170 חבילות npm ו-PyPI, שצברו יותר מ-518 מיליון הורדות מצטברות, ותקף ישירות ספריות כלי AI למפתחים .

המצב מסתבך אף יותר משום ש-TeamPCP פתחה את הקוד של תשתית Mini Shai-Hulud . משמעות הדבר היא שמספר לא ידוע של גורמים מחקים (copycat) קיבלו גישה לאותה תשתית קוד. בעוד שהטכניקות והקוד מקשרים באופן חזק את Miasma לשושלת של TeamPCP, חוקרי אבטחה מרובים מזהירים כי לא ניתן לקבוע בוודאות שיוך לקבוצה המקורית, שכן כל גורם בעל ארגז הכלים בקוד הפתוח יכול היה לתזמר חלק או את כל הגל הספציפי הזה .

המלצות אבטחה למפתחים

מתקפת Miasma מגדירה מחדש באופן יסודי את גבולות האבטחה. פתיחת מאגר קוד אינה עוד פעולה סבילה ובטוחה. חוקרים התגבשו סביב מספר המלצות מרכזיות:

• שלילה וריענון של הכל: בצעו רוטציה (ריענון) מיידית של כל אסימוני GitHub Actions, אישורי גישה לספקי ענן, אסימוני פרסום npm, וכל סודות אחרים שייתכן שנחשפו דרך יומני CI/CD, מאגרים נגועים או יומני גניבה .
• אכיפת אימות רב-שלבי (MFA): דרשו אימות רב-שלבי, רצוי באמצעות מפתחות אבטחה פיזיים (hardware security keys), עבור כל חשבונות המשתתפים (contributors) כדי למנוע חדירות מבוססות-אישורים .
• טיהור גבולות האמון של כלי AI: התייחסו למאגרים לא מהימנים (untrusted repositories) כפי שהייתם מתייחסים לקובץ בינארי לא ידוע. הגדירו את סוכני קידוד ה-AI (Claude Code, Cursor, Gemini CLI, VS Code) כך ש-לא יבצעו הרצה או קריאה אוטומטית של קבצי תצורה ומשימות (tasks) מתוך המאגרים .
• הקשחת צינורות CI/CD: בצעו ביקורת (audit) על תהליכי GitHub Actions כדי להגביל הרשאות כתיבה על אסימוני Actions, הסירו אסימונים שאינם בשימוש, ואכפו שימוש באישורי גישה קצרי-טווח .
• חיזוק היגיינת שרשרת האספקה: השתמשו בכלי סריקת תלויות (dependencies), צרו SBOM (רשימת רכיבי תוכנה), ואמתו מקור חבילה (provenance) לפני התקנה. עקבו אחר חבילות לאיתור סקריפטים מוצפנים – preinstall או postinstall .

איך התגלגלה המתקפה: כלי AI כטריגר

הייחודיות של המתקפה טמונה בנתיב הביצוע שלה, אשר עקף בדיקות אבטחה מסורתיות על ידי הפיכת כלי הפיתוח לנתיבי תקיפה. להלן שלבי המפתח:

• נקודת הכניסה: הפריצה החלה בקומיט זדוני שהועלה למאגר Azure/durabletask תוך שימוש בחשבון של משתתף (contributor) שנפרץ בעבר . כדי לחמוק מגילוי, כותרת הקומיט הייתה "Switched DataConverter to OrchestrationContext [skip ci]" והמטא-דאטה שלו תוארך לאחור למרץ 2020 .
• העברת המטען דרך עוזרי AI: הקומיט לא שינה קוד מקור מסורתי. במקום זאת, הוא שתל קבצי תצורה (configuration files), כמו הגדרות ל-Claude Code, Gemini CLI ו-Cursor . כאשר מפתח פתח את המאגר הנגוע ב-Claude Code, Gemini CLI, Cursor, או Visual Studio Code (VS Code) , כלי ה-AI הללו קראו אוטומטית את קבצי התצורה, ובכך הריצו מטען נסתר לאיסוף אישורי גישה (credential-harvesting payload) .
• מה נגנב? עם הפעלתו, התולעת אספה מגוון רחב של אישורי גישה קריטיים ממחשב המפתח ומהסביבות המשויכות אליו, כולל מפתחות ל-AWS, GCP, Azure, HashiCorp Vault, Kubernetes ו-GitHub Actions .
• שכפול עצמי: לאחר גניבת האישורים, התולעת השתמשה בהם כדי לדחוף את אותו קומיט זדוני למאגרים אחרים שהקורבן היה בעל גישה אליהם, מה שאפשר לה להתפשט במהירות על פני ארגונים מרובים .

המקור: הפריצה לחבילות npm של Red Hat

האירוע בגיטהאב של מיקרוסופט היה המערכה האחרונה בקמפיין שהחל ימים ספורים קודם לכן בשרשרת אספקת תוכנת הקוד הפתוח.

ב-1 ביוני 2026, תוקפים עשו שימוש בחשבון גיטהאב גנוב של עובד Red Hat כדי לפרסם גרסאות נגועות של 32 חבילות npm רשמיות - @redhat-cloud-services, שהקיפו למעלה מ-90 גרסאות . צוות Microsoft Threat Intelligence עקב אחר מקור הפריצה לצינור ה-CI/CD (Continuous Integration and Continuous Delivery) של RedHatInsights/javascript-clients, מה שאיפשר לתוקפים לפרסם חבילות נגועות עם חתימות מקור (provenance signatures) לגיטימיות למראה . חבילות זדוניות אלו הכילו סקריפט preinstall מוצפן אשר הריץ גונב אישורי גישה (credential stealer) בעת ההתקנה, ובכך הניחו את התשתית להתפשטות הרחבה יותר של Miasma .

תגובה ובלימה

התגובה למתקפה הייתה מהירה ונחרצת, אך ההשלכות של האירוע עמוקות.

• השבתה מיידית: מערכות זיהוי השימוש לרעה האוטומטיות של GitHub השביתו את כל 74 המאגרים הנגועים בשני גלים נפרדים, חסמו מיידית גישה ציבורית והציגו הודעת "הפרת תנאי שימוש" .
• התאוששות ותיקון: מיקרוסופט שיחזרה במלואם את כל המאגרים שנפגעו עד 8 ביוני ויידעה את הלקוחות המושפעים . ממצא מרכזי היה שהתוקף עשה שימוש חוזר ב-סודות (Secrets) של GitHub Actions שלא רועננו כדי לשמר ולהרחיב את הגישה, מה שמצביע על כך שפריצה קודמת לא נוקתה באופן מלא .
• שורש עמוק יותר: חקירות גילו שאישורי הגישה הגנובים ששימשו במתקפה ב-5 ביוני נמצאו ביומני גניבה פעילים (stealer logs) במשך 48 ימים לפני ששימשו כנשק, מה שמדגיש חדירה ממושכת שקדמה להפעלת התולעת .

שיוך (Attribution): מורשת Shai-Hulud ובעיית המחקים

Miasma היא צאצא ישיר של תשתית Mini Shai-Hulud, ארגז כלים שיצרה קבוצת האיום הידועה בשם TeamPCP . קמפיין מוקדם יותר של TeamPCP, שנחשף ב-12 במאי 2026, כבר פגע בלמעלה מ-170 חבילות npm ו-PyPI, שצברו יותר מ-518 מיליון הורדות מצטברות, ותקף ישירות ספריות כלי AI למפתחים .

המצב מסתבך אף יותר משום ש-TeamPCP פתחה את הקוד של תשתית Mini Shai-Hulud . משמעות הדבר היא שמספר לא ידוע של גורמים מחקים (copycat) קיבלו גישה לאותה תשתית קוד. בעוד שהטכניקות והקוד מקשרים באופן חזק את Miasma לשושלת של TeamPCP, חוקרי אבטחה מרובים מזהירים כי לא ניתן לקבוע בוודאות שיוך לקבוצה המקורית, שכן כל גורם בעל ארגז הכלים בקוד הפתוח יכול היה לתזמר חלק או את כל הגל הספציפי הזה .

המלצות אבטחה למפתחים

מתקפת Miasma מגדירה מחדש באופן יסודי את גבולות האבטחה. פתיחת מאגר קוד אינה עוד פעולה סבילה ובטוחה. חוקרים התגבשו סביב מספר המלצות מרכזיות:

• שלילה וריענון של הכל: בצעו רוטציה (ריענון) מיידית של כל אסימוני GitHub Actions, אישורי גישה לספקי ענן, אסימוני פרסום npm, וכל סודות אחרים שייתכן שנחשפו דרך יומני CI/CD, מאגרים נגועים או יומני גניבה .
• אכיפת אימות רב-שלבי (MFA): דרשו אימות רב-שלבי, רצוי באמצעות מפתחות אבטחה פיזיים (hardware security keys), עבור כל חשבונות המשתתפים (contributors) כדי למנוע חדירות מבוססות-אישורים .
• טיהור גבולות האמון של כלי AI: התייחסו למאגרים לא מהימנים (untrusted repositories) כפי שהייתם מתייחסים לקובץ בינארי לא ידוע. הגדירו את סוכני קידוד ה-AI (Claude Code, Cursor, Gemini CLI, VS Code) כך ש-לא יבצעו הרצה או קריאה אוטומטית של קבצי תצורה ומשימות (tasks) מתוך המאגרים .
• הקשחת צינורות CI/CD: בצעו ביקורת (audit) על תהליכי GitHub Actions כדי להגביל הרשאות כתיבה על אסימוני Actions, הסירו אסימונים שאינם בשימוש, ואכפו שימוש באישורי גישה קצרי-טווח .
• חיזוק היגיינת שרשרת האספקה: השתמשו בכלי סריקת תלויות (dependencies), צרו SBOM (רשימת רכיבי תוכנה), ואמתו מקור חבילה (provenance) לפני התקנה. עקבו אחר חבילות לאיתור סקריפטים מוצפנים – preinstall או postinstall .