Worm Miasma Menyerang Microsoft: 73 Repositori GitHub Azure Dinonaktifkan
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma. Serangan ini berawal dari pengambilalihan akun GitHub karyawan Red Hat yang digunakan untuk menyisipkan kode berbahaya ke 32 paket npm dengan 96 versi berbahaya...
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma.
Serangan ini berawal dari pengambilalihan akun GitHub karyawan Red Hat yang digunakan untuk menyisipkan kode berbahaya ke 32 paket npm dengan 96 versi berbahaya di namespace @redhat cloud services.
Miasma mencuri token dan kredensial pengembang, menyebarkan dirinya ke repositori lain, serta menargetkan agen pemrograman AI seperti Claude Code, Gemini CLI, Cursor, dan VS Code.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Serangan yang menjalar dari npm ke GitHub Microsoft
Worm Miasma mencapai infrastruktur GitHub Microsoft pada 5 Juni 2026. Setelah sebuah commit berbahaya didorong ke repositori Azure/durabletask menggunakan akun kontributor yang sebelumnya telah disusupi, sistem GitHub menonaktifkan 73 repositori di empat organisasi Microsoft dalam waktu 105 detik .
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "Worm Miasma Menyerang Microsoft: 73 Repositori GitHub Azure Dinonaktifkan"?
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma.
Apa poin penting yang harus divalidasi terlebih dahulu?
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma. Serangan ini berawal dari pengambilalihan akun GitHub karyawan Red Hat yang digunakan untuk menyisipkan kode berbahaya ke 32 paket npm dengan 96 versi berbahaya di namespace @redhat cloud services.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Miasma mencuri token dan kredensial pengembang, menyebarkan dirinya ke repositori lain, serta menargetkan agen pemrograman AI seperti Claude Code, Gemini CLI, Cursor, dan VS Code.
Worm Miasma Menyerang Microsoft: 73 Repositori GitHub Azure Dinonaktifkan
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma. Serangan ini berawal dari pengambilalihan akun GitHub karyawan Red Hat yang digunakan untuk menyisipkan kode berbahaya ke 32 paket npm dengan 96 versi berbahaya...
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma.
Serangan ini berawal dari pengambilalihan akun GitHub karyawan Red Hat yang digunakan untuk menyisipkan kode berbahaya ke 32 paket npm dengan 96 versi berbahaya di namespace @redhat cloud services.
Miasma mencuri token dan kredensial pengembang, menyebarkan dirinya ke repositori lain, serta menargetkan agen pemrograman AI seperti Claude Code, Gemini CLI, Cursor, dan VS Code.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Serangan yang menjalar dari npm ke GitHub Microsoft
Worm Miasma mencapai infrastruktur GitHub Microsoft pada 5 Juni 2026. Setelah sebuah commit berbahaya didorong ke repositori Azure/durabletask menggunakan akun kontributor yang sebelumnya telah disusupi, sistem GitHub menonaktifkan 73 repositori di empat organisasi Microsoft dalam waktu 105 detik .
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "Worm Miasma Menyerang Microsoft: 73 Repositori GitHub Azure Dinonaktifkan"?
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma.
Apa poin penting yang harus divalidasi terlebih dahulu?
Pada 5 Juni 2026, GitHub menonaktifkan 73 repositori Microsoft di empat organisasi dalam penyisiran otomatis selama 105 detik setelah serangan worm Miasma. Serangan ini berawal dari pengambilalihan akun GitHub karyawan Red Hat yang digunakan untuk menyisipkan kode berbahaya ke 32 paket npm dengan 96 versi berbahaya di namespace @redhat cloud services.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Miasma mencuri token dan kredensial pengembang, menyebarkan dirinya ke repositori lain, serta menargetkan agen pemrograman AI seperti Claude Code, Gemini CLI, Cursor, dan VS Code.
Insiden ini menjadi puncak dari kampanye serangan rantai pasok perangkat lunak yang telah berlangsung selama sekitar satu pekan. Miasma sebelumnya menyusupi paket-paket di registry npm dan mencuri kredensial dari komputer pengembang. Dalam tahap berikutnya, malware tersebut menunjukkan kemampuan baru: menyisipkan instruksi berbahaya ke dalam berkas konfigurasi yang dibaca oleh agen pemrograman berbasis AI.
Awalnya: 32 paket npm Red Hat disusupi
Pada 1 Juni 2026, peneliti keamanan dari Aikido dan OX Security menemukan kode berbahaya di namespace npm @redhat-cloud-services. Namespace ini berisi paket-paket yang digunakan untuk mendukung Red Hat Hybrid Cloud Console. Sebanyak 32 paket dalam 96 versi berbahaya diketahui telah disusupi, dengan total sekitar 117.000 unduhan per minggu .
Akses awal bukan sekadar akibat kebocoran token npm. Penyerang mengambil alih akun GitHub seorang karyawan Red Hat, kemudian memakainya untuk menyisipkan commit berbahaya ke pipeline CI/CD RedHatInsights/javascript-clients.
Dari sana, penyerang menyalahgunakan mekanisme trusted publishing milik GitHub dan npm. Mekanisme ini memungkinkan publikasi paket melalui alur kerja tepercaya, termasuk penggunaan token OIDC berumur pendek. Karena pipeline resmi yang disalahgunakan tetap menghasilkan attestasi provenance SLSA yang valid, paket yang telah diberi pintu belakang dapat terlihat sah .
Paket yang terinfeksi membawa skrip preinstall. Skrip ini berjalan otomatis ketika paket dipasang melalui npm install, lalu mengunduh muatan pencuri kredensial berukuran 28 KB. Malware tersebut dikenal sebagai varian baru keluarga Mini Shai-Hulud bernama “Miasma” dan dikaitkan dengan kelompok TeamPCP, meskipun penggunaan kode yang sama oleh pelaku peniru juga tidak dapat dikesampingkan .
Bagaimana Miasma mencapai repositori Microsoft?
Kredensial yang dicuri pada tahap awal kemudian digunakan untuk menyerang ekosistem GitHub. Pada 5 Juni, penyerang mendorong satu commit berbahaya ke repositori Azure/durabletask menggunakan akun kontributor yang telah disusupi sebelumnya .
Repositori tersebut sebelumnya juga pernah terdampak kompromi paket PyPI pada 19 Mei. Akun kontributor yang sama digunakan kembali dalam serangan berikutnya. Hal ini menunjukkan bahwa akses yang terkait dengan kompromi awal kemungkinan belum sepenuhnya dicabut setelah insiden pertama .
Commit berbahaya itu berisi berkas konfigurasi yang dirancang untuk menjebak agen pemrograman AI. Ketika pengembang membuka repositori melalui alat seperti Claude Code, Gemini CLI, Cursor, atau VS Code, berkas-berkas tersebut dapat dibaca secara otomatis dan menyuntikkan instruksi yang menjalankan muatan pencuri kredensial .
GitHub kemudian menonaktifkan 73 repositori di empat organisasi Microsoft :
Azure, termasuk seluruh repositori Azure Functions Action;
Azure-Samples;
Microsoft; dan
MicrosoftDocs.
Repositori yang terdampak menampilkan pemberitahuan berwarna abu-abu: “This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub's terms of service” .
Lima teknik utama dalam kampanye Miasma
1. Meracuni paket di registry npm
Versi paket yang telah diberi pintu belakang menjalankan skrip preinstall saat pengguna memasangnya. Dengan demikian, infeksi dapat dimulai sebelum aplikasi utama dijalankan .
2. Menyebarkan diri secara otomatis
Setelah masuk ke komputer pengembang, muatan Miasma mencari token GitHub, token npm, dan kredensial lain. Token tersebut kemudian dapat digunakan untuk menyisipkan kode berbahaya ke repositori atau paket lain yang dapat diakses korban, sehingga worm menyebar tanpa memerlukan tindakan manual lebih lanjut .
3. Mengincar kredensial cloud dan alat pengembangan
Miasma dirancang sebagai pencuri data yang agresif. Targetnya mencakup kredensial AWS, Azure, GCP, Kubernetes, HashiCorp Vault, lebih dari 90 konfigurasi alat pengembangan, kunci SSH, variabel lingkungan, dompet kripto, serta data persistensi alat AI .
4. Menyalahgunakan alur publikasi tepercaya
Pengambilalihan akun karyawan memungkinkan penyerang menyusupi pipeline resmi dan menerbitkan paket melalui mekanisme trusted publishing. Akibatnya, paket berbahaya dapat memiliki attestasi provenance yang valid dan tampak lebih meyakinkan bagi pengguna maupun sistem otomatis .
5. Menargetkan agen pemrograman AI
Pada fase serangan terhadap Microsoft, pelaku menanamkan instruksi berbahaya dalam berkas konfigurasi yang dibaca agen pemrograman AI. Hal ini mengubah alat bantu pengembang menjadi jalur eksekusi yang tidak disengaja bagi alur kerja yang dikendalikan penyerang .
Tindakan mitigasi yang dilakukan
Pada 5 Juni, GitHub menonaktifkan 73 repositori Microsoft dalam penyisiran otomatis selama 105 detik untuk membatasi dampak .
Pada 1 Juni, Red Hat menerbitkan advisori RHSB-2026-006, mencabut token npm dan kredensial publikasi yang terdampak, serta menghapus paket berbahaya dari registry .
Pada 2 Juni, Microsoft Threat Intelligence menerbitkan analisis terperinci mengenai rantai serangan dan panduan deteksi bagi komunitas keamanan .
Peneliti keamanan menyarankan organisasi yang terdampak untuk segera mengganti seluruh rahasia CI, kredensial cloud, kunci SSH, dan token npm yang mungkin telah terekspos. Mereka juga diminta mengaudit pipeline CI/CD untuk mencari commit yang tidak sah serta memantau repositori dengan mencari penanda Miasma: “Miasma – The Spreading Blight”.
Dengan kata lain, menghapus paket yang terinfeksi saja tidak cukup. Jika kredensial telah dicuri, penyerang masih mungkin mempertahankan akses melalui token, kunci, atau izin repositori yang belum dicabut.
Ancaman terkait: kampanye IronWorm dan risiko pelaku peniru
Miasma bukan satu-satunya kampanye yang terungkap pada periode tersebut. Pada 5 Juni, Endor Labs dan StepSecurity mengungkap kampanye terpisah bernama IronWorm. Kampanye ini telah menyusupi 57 paket npm dalam lebih dari 286 versi berbahaya untuk menyebarkan varian baru worm Miasma .
Kampanye IronWorm juga bereksperimen dengan teknik seperti penyalahgunaan berkas binding.gyp untuk menjalankan kode berbahaya . Skala ini menunjukkan bahwa pelaku terus memperluas operasi dan mencoba jalur eksekusi baru.
Cloud Security Alliance (CSA) memperingatkan adanya risiko jangka panjang. Meskipun kampanye Miasma dikaitkan dengan TeamPCP, basis kode yang digunakan telah tersedia untuk publik. Karena itu, pelaku peniru yang memakai kode asli maupun versi modifikasinya tidak dapat dikesampingkan .
Insiden ini memperlihatkan bahwa rantai pasok perangkat lunak tidak hanya bergantung pada keamanan registry atau satu repositori. Akun pengembang, pipeline CI/CD, mekanisme publikasi tepercaya, token cloud, dan bahkan alat AI yang membaca berkas proyek semuanya dapat menjadi mata rantai yang diserang.
safedep.io
Miasma Worm Targets AI Coding Agents via GitHub Repos
Insiden ini menjadi puncak dari kampanye serangan rantai pasok perangkat lunak yang telah berlangsung selama sekitar satu pekan. Miasma sebelumnya menyusupi paket-paket di registry npm dan mencuri kredensial dari komputer pengembang. Dalam tahap berikutnya, malware tersebut menunjukkan kemampuan baru: menyisipkan instruksi berbahaya ke dalam berkas konfigurasi yang dibaca oleh agen pemrograman berbasis AI.
Awalnya: 32 paket npm Red Hat disusupi
Pada 1 Juni 2026, peneliti keamanan dari Aikido dan OX Security menemukan kode berbahaya di namespace npm @redhat-cloud-services. Namespace ini berisi paket-paket yang digunakan untuk mendukung Red Hat Hybrid Cloud Console. Sebanyak 32 paket dalam 96 versi berbahaya diketahui telah disusupi, dengan total sekitar 117.000 unduhan per minggu .
Akses awal bukan sekadar akibat kebocoran token npm. Penyerang mengambil alih akun GitHub seorang karyawan Red Hat, kemudian memakainya untuk menyisipkan commit berbahaya ke pipeline CI/CD RedHatInsights/javascript-clients.
Dari sana, penyerang menyalahgunakan mekanisme trusted publishing milik GitHub dan npm. Mekanisme ini memungkinkan publikasi paket melalui alur kerja tepercaya, termasuk penggunaan token OIDC berumur pendek. Karena pipeline resmi yang disalahgunakan tetap menghasilkan attestasi provenance SLSA yang valid, paket yang telah diberi pintu belakang dapat terlihat sah .
Paket yang terinfeksi membawa skrip preinstall. Skrip ini berjalan otomatis ketika paket dipasang melalui npm install, lalu mengunduh muatan pencuri kredensial berukuran 28 KB. Malware tersebut dikenal sebagai varian baru keluarga Mini Shai-Hulud bernama “Miasma” dan dikaitkan dengan kelompok TeamPCP, meskipun penggunaan kode yang sama oleh pelaku peniru juga tidak dapat dikesampingkan .
Bagaimana Miasma mencapai repositori Microsoft?
Kredensial yang dicuri pada tahap awal kemudian digunakan untuk menyerang ekosistem GitHub. Pada 5 Juni, penyerang mendorong satu commit berbahaya ke repositori Azure/durabletask menggunakan akun kontributor yang telah disusupi sebelumnya .
Repositori tersebut sebelumnya juga pernah terdampak kompromi paket PyPI pada 19 Mei. Akun kontributor yang sama digunakan kembali dalam serangan berikutnya. Hal ini menunjukkan bahwa akses yang terkait dengan kompromi awal kemungkinan belum sepenuhnya dicabut setelah insiden pertama .
Commit berbahaya itu berisi berkas konfigurasi yang dirancang untuk menjebak agen pemrograman AI. Ketika pengembang membuka repositori melalui alat seperti Claude Code, Gemini CLI, Cursor, atau VS Code, berkas-berkas tersebut dapat dibaca secara otomatis dan menyuntikkan instruksi yang menjalankan muatan pencuri kredensial .
GitHub kemudian menonaktifkan 73 repositori di empat organisasi Microsoft :
Azure, termasuk seluruh repositori Azure Functions Action;
Azure-Samples;
Microsoft; dan
MicrosoftDocs.
Repositori yang terdampak menampilkan pemberitahuan berwarna abu-abu: “This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub's terms of service” .
Lima teknik utama dalam kampanye Miasma
1. Meracuni paket di registry npm
Versi paket yang telah diberi pintu belakang menjalankan skrip preinstall saat pengguna memasangnya. Dengan demikian, infeksi dapat dimulai sebelum aplikasi utama dijalankan .
2. Menyebarkan diri secara otomatis
Setelah masuk ke komputer pengembang, muatan Miasma mencari token GitHub, token npm, dan kredensial lain. Token tersebut kemudian dapat digunakan untuk menyisipkan kode berbahaya ke repositori atau paket lain yang dapat diakses korban, sehingga worm menyebar tanpa memerlukan tindakan manual lebih lanjut .
3. Mengincar kredensial cloud dan alat pengembangan
Miasma dirancang sebagai pencuri data yang agresif. Targetnya mencakup kredensial AWS, Azure, GCP, Kubernetes, HashiCorp Vault, lebih dari 90 konfigurasi alat pengembangan, kunci SSH, variabel lingkungan, dompet kripto, serta data persistensi alat AI .
4. Menyalahgunakan alur publikasi tepercaya
Pengambilalihan akun karyawan memungkinkan penyerang menyusupi pipeline resmi dan menerbitkan paket melalui mekanisme trusted publishing. Akibatnya, paket berbahaya dapat memiliki attestasi provenance yang valid dan tampak lebih meyakinkan bagi pengguna maupun sistem otomatis .
5. Menargetkan agen pemrograman AI
Pada fase serangan terhadap Microsoft, pelaku menanamkan instruksi berbahaya dalam berkas konfigurasi yang dibaca agen pemrograman AI. Hal ini mengubah alat bantu pengembang menjadi jalur eksekusi yang tidak disengaja bagi alur kerja yang dikendalikan penyerang .
Tindakan mitigasi yang dilakukan
Pada 5 Juni, GitHub menonaktifkan 73 repositori Microsoft dalam penyisiran otomatis selama 105 detik untuk membatasi dampak .
Pada 1 Juni, Red Hat menerbitkan advisori RHSB-2026-006, mencabut token npm dan kredensial publikasi yang terdampak, serta menghapus paket berbahaya dari registry .
Pada 2 Juni, Microsoft Threat Intelligence menerbitkan analisis terperinci mengenai rantai serangan dan panduan deteksi bagi komunitas keamanan .
Peneliti keamanan menyarankan organisasi yang terdampak untuk segera mengganti seluruh rahasia CI, kredensial cloud, kunci SSH, dan token npm yang mungkin telah terekspos. Mereka juga diminta mengaudit pipeline CI/CD untuk mencari commit yang tidak sah serta memantau repositori dengan mencari penanda Miasma: “Miasma – The Spreading Blight”.
Dengan kata lain, menghapus paket yang terinfeksi saja tidak cukup. Jika kredensial telah dicuri, penyerang masih mungkin mempertahankan akses melalui token, kunci, atau izin repositori yang belum dicabut.
Ancaman terkait: kampanye IronWorm dan risiko pelaku peniru
Miasma bukan satu-satunya kampanye yang terungkap pada periode tersebut. Pada 5 Juni, Endor Labs dan StepSecurity mengungkap kampanye terpisah bernama IronWorm. Kampanye ini telah menyusupi 57 paket npm dalam lebih dari 286 versi berbahaya untuk menyebarkan varian baru worm Miasma .
Kampanye IronWorm juga bereksperimen dengan teknik seperti penyalahgunaan berkas binding.gyp untuk menjalankan kode berbahaya . Skala ini menunjukkan bahwa pelaku terus memperluas operasi dan mencoba jalur eksekusi baru.
Cloud Security Alliance (CSA) memperingatkan adanya risiko jangka panjang. Meskipun kampanye Miasma dikaitkan dengan TeamPCP, basis kode yang digunakan telah tersedia untuk publik. Karena itu, pelaku peniru yang memakai kode asli maupun versi modifikasinya tidak dapat dikesampingkan .
Insiden ini memperlihatkan bahwa rantai pasok perangkat lunak tidak hanya bergantung pada keamanan registry atau satu repositori. Akun pengembang, pipeline CI/CD, mekanisme publikasi tepercaya, token cloud, dan bahkan alat AI yang membaca berkas proyek semuanya dapat menjadi mata rantai yang diserang.
safedep.io
Miasma Worm Targets AI Coding Agents via GitHub Repos
