Come si è Svolto l'Attacco: Gli Strumenti AI Come Grilletto

La novità dell'attacco risiede nel suo metodo di esecuzione, che ha aggirato i controlli di sicurezza tradizionali trasformando gli strumenti per sviluppatori in vettori d'attacco.

• Il Punto d'Ingresso: La breccia è iniziata con un commit malevolo (una modifica al codice) inviato al repository Azure/durabletask usando l'account precedentemente compromesso di un collaboratore . Per non dare nell'occhio, il commit era intitolato "Switched DataConverter to OrchestrationContext [skip ci]" e i suoi metadati erano stati retrodatati al marzo 2020 .
• Consegna del Payload tramite Assistenti AI: Il commit non alterava il codice sorgente tradizionale. Al contrario, inseriva file di configurazione per strumenti come Claude Code, Gemini CLI e Cursor . Quando uno sviluppatore apriva il repository infetto in Claude Code, Gemini CLI, Cursor o Visual Studio Code (VS Code), questi strumenti AI leggevano automaticamente i file di configurazione, eseguendo un payload nascosto per la raccolta di credenziali .
• Cosa è Stato Rubato: Una volta eseguito, il worm raccoglieva un'ampia gamma di credenziali critiche dalla macchina dello sviluppatore e dagli ambienti associati, comprese quelle per AWS, GCP, Azure, HashiCorp Vault, Kubernetes e GitHub Actions .
• Auto-Replicazione: Dopo aver rubato le credenziali, il worm le usava per inviare lo stesso commit malevolo ad altri repository accessibili alla vittima, diffondendosi così rapidamente in molteplici organizzazioni .

L'Origine: La Compromissione dei Pacchetti npm di Red Hat

L'incidente di Microsoft GitHub è stato l'atto finale di una campagna iniziata giorni prima nella catena di fornitura del software open-source.

Il 1° giugno 2026, alcuni aggressori hanno usato l'account GitHub rubato di un dipendente Red Hat per pubblicare versioni alterate di 32 pacchetti npm ufficiali @redhat-cloud-services, per un totale di oltre 90 versioni . Microsoft Threat Intelligence ha ricondotto la compromissione alla pipeline CI/CD (Continuous Integration/Continuous Delivery) originale di RedHatInsights/javascript-clients, permettendo agli aggressori di pubblicare pacchetti infetti con firme di provenienza autentiche e dall'aspetto legittimo . Questi pacchetti malevoli contenevano uno script di pre-installazione offuscato che, una volta attivato, eseguiva un programma per il furto di credenziali, gettando le basi per la più ampia propagazione di Miasma .

Risposta e Contenimento

La risposta all'attacco è stata rapida e decisa, ma le implicazioni dell'incidente sono profonde.

• Disabilitazione Immediata: I sistemi automatici di rilevamento abusi di GitHub hanno disabilitato tutti i 73 repository infetti in due ondate distinte, bloccando immediatamente l'accesso pubblico e mostrando un avviso di "violazione dei termini di servizio" .
• Ripristino e Bonifica: Microsoft ha completamente ripristinato tutti i repository colpiti entro l'8 giugno e ha informato i clienti coinvolti . Una scoperta chiave è stata che l'aggressore ha riutilizzato segreti di GitHub Actions non ancora aggiornati per mantenere ed espandere l'accesso, dimostrando che una precedente compromissione non era stata completamente risolta .
• Una Radice Più Profonda: Le indagini hanno rivelato che le credenziali rubate e usate nell'attacco del 5 giugno erano già presenti nei registri di furto dati attivi da 48 giorni prima di essere utilizzate come arma, segnalando un'intrusione a lungo termine antecedente all'attivazione del worm .

Attribuzione: L'Eredità di Shai-Hulud e il Problema degli Emulatori

Miasma è un discendente diretto del framework worm Mini Shai-Hulud, un toolkit creato dal gruppo di minaccia noto come TeamPCP . La precedente campagna di TeamPCP, divulgata il 12 maggio 2026, aveva già compromesso oltre 170 pacchetti npm e PyPI, con più di 518 milioni di download cumulativi, prendendo di mira direttamente le librerie per sviluppatori AI .

La situazione è ulteriormente complicata dal fatto che TeamPCP ha reso open-source il framework Mini Shai-Hulud . Ciò significa che un numero imprecisato di emulatori ha accesso allo stesso codice. Sebbene le tecniche e il codice colleghino fortemente Miasma alla stirpe di TeamPCP, diversi ricercatori di sicurezza avvertono che un'attribuzione definitiva al gruppo originale non è possibile, poiché qualsiasi attore in possesso del toolkit open-source potrebbe aver orchestrato in tutto o in parte questa specifica ondata di attacchi .

Raccomandazioni di Sicurezza per gli Sviluppatori

L'attacco Miasma ridefinisce radicalmente i confini della sicurezza. Aprire un repository di codice non è più un'azione passiva e sicura. I ricercatori hanno condensato diverse raccomandazioni chiave:

• Revocare e Ruotare Tutto: Ruotare immediatamente tutti i token di GitHub Actions, le credenziali dei provider cloud, i token di pubblicazione npm e qualsiasi altro segreto che potrebbe essere stato esposto tramite log CI/CD, repository infetti o registri di furto dati .
• Applicare Rigorosamente l'MFA: Richiedere l'autenticazione a più fattori, preferibilmente usando chiavi di sicurezza hardware, per tutti gli account dei collaboratori per prevenire intrusioni basate su credenziali .
• Rivedere i Confini di Fiducia degli Strumenti AI: Trattare i repository non fidati come si farebbe con un file eseguibile sconosciuto. Configurare gli agenti di codifica AI (Claude Code, Cursor, Gemini CLI, VS Code) in modo che non eseguano o leggano automaticamente file di configurazione e attività dai repository .
• Rafforzare le Pipeline CI/CD: Verificare i flussi di lavoro di GitHub Actions per limitare l'accesso in scrittura ai token, rimuovere i token inutilizzati e imporre l'uso di credenziali a breve scadenza .
• Migliorare l'Igiene della Catena di Fornitura: Usare strumenti di scansione delle dipendenze, generare un SBOM (Software Bill of Materials) e verificare la provenienza dei pacchetti prima dell'installazione. Monitorare la presenza di script di pre o post-installazione offuscati .

Come si è Svolto l'Attacco: Gli Strumenti AI Come Grilletto

La novità dell'attacco risiede nel suo metodo di esecuzione, che ha aggirato i controlli di sicurezza tradizionali trasformando gli strumenti per sviluppatori in vettori d'attacco.

• Il Punto d'Ingresso: La breccia è iniziata con un commit malevolo (una modifica al codice) inviato al repository Azure/durabletask usando l'account precedentemente compromesso di un collaboratore . Per non dare nell'occhio, il commit era intitolato "Switched DataConverter to OrchestrationContext [skip ci]" e i suoi metadati erano stati retrodatati al marzo 2020 .
• Consegna del Payload tramite Assistenti AI: Il commit non alterava il codice sorgente tradizionale. Al contrario, inseriva file di configurazione per strumenti come Claude Code, Gemini CLI e Cursor . Quando uno sviluppatore apriva il repository infetto in Claude Code, Gemini CLI, Cursor o Visual Studio Code (VS Code), questi strumenti AI leggevano automaticamente i file di configurazione, eseguendo un payload nascosto per la raccolta di credenziali .
• Cosa è Stato Rubato: Una volta eseguito, il worm raccoglieva un'ampia gamma di credenziali critiche dalla macchina dello sviluppatore e dagli ambienti associati, comprese quelle per AWS, GCP, Azure, HashiCorp Vault, Kubernetes e GitHub Actions .
• Auto-Replicazione: Dopo aver rubato le credenziali, il worm le usava per inviare lo stesso commit malevolo ad altri repository accessibili alla vittima, diffondendosi così rapidamente in molteplici organizzazioni .

L'Origine: La Compromissione dei Pacchetti npm di Red Hat

L'incidente di Microsoft GitHub è stato l'atto finale di una campagna iniziata giorni prima nella catena di fornitura del software open-source.

Il 1° giugno 2026, alcuni aggressori hanno usato l'account GitHub rubato di un dipendente Red Hat per pubblicare versioni alterate di 32 pacchetti npm ufficiali @redhat-cloud-services, per un totale di oltre 90 versioni . Microsoft Threat Intelligence ha ricondotto la compromissione alla pipeline CI/CD (Continuous Integration/Continuous Delivery) originale di RedHatInsights/javascript-clients, permettendo agli aggressori di pubblicare pacchetti infetti con firme di provenienza autentiche e dall'aspetto legittimo . Questi pacchetti malevoli contenevano uno script di pre-installazione offuscato che, una volta attivato, eseguiva un programma per il furto di credenziali, gettando le basi per la più ampia propagazione di Miasma .

Risposta e Contenimento

La risposta all'attacco è stata rapida e decisa, ma le implicazioni dell'incidente sono profonde.

• Disabilitazione Immediata: I sistemi automatici di rilevamento abusi di GitHub hanno disabilitato tutti i 73 repository infetti in due ondate distinte, bloccando immediatamente l'accesso pubblico e mostrando un avviso di "violazione dei termini di servizio" .
• Ripristino e Bonifica: Microsoft ha completamente ripristinato tutti i repository colpiti entro l'8 giugno e ha informato i clienti coinvolti . Una scoperta chiave è stata che l'aggressore ha riutilizzato segreti di GitHub Actions non ancora aggiornati per mantenere ed espandere l'accesso, dimostrando che una precedente compromissione non era stata completamente risolta .
• Una Radice Più Profonda: Le indagini hanno rivelato che le credenziali rubate e usate nell'attacco del 5 giugno erano già presenti nei registri di furto dati attivi da 48 giorni prima di essere utilizzate come arma, segnalando un'intrusione a lungo termine antecedente all'attivazione del worm .

Attribuzione: L'Eredità di Shai-Hulud e il Problema degli Emulatori

Miasma è un discendente diretto del framework worm Mini Shai-Hulud, un toolkit creato dal gruppo di minaccia noto come TeamPCP . La precedente campagna di TeamPCP, divulgata il 12 maggio 2026, aveva già compromesso oltre 170 pacchetti npm e PyPI, con più di 518 milioni di download cumulativi, prendendo di mira direttamente le librerie per sviluppatori AI .

La situazione è ulteriormente complicata dal fatto che TeamPCP ha reso open-source il framework Mini Shai-Hulud . Ciò significa che un numero imprecisato di emulatori ha accesso allo stesso codice. Sebbene le tecniche e il codice colleghino fortemente Miasma alla stirpe di TeamPCP, diversi ricercatori di sicurezza avvertono che un'attribuzione definitiva al gruppo originale non è possibile, poiché qualsiasi attore in possesso del toolkit open-source potrebbe aver orchestrato in tutto o in parte questa specifica ondata di attacchi .

Raccomandazioni di Sicurezza per gli Sviluppatori

L'attacco Miasma ridefinisce radicalmente i confini della sicurezza. Aprire un repository di codice non è più un'azione passiva e sicura. I ricercatori hanno condensato diverse raccomandazioni chiave:

• Revocare e Ruotare Tutto: Ruotare immediatamente tutti i token di GitHub Actions, le credenziali dei provider cloud, i token di pubblicazione npm e qualsiasi altro segreto che potrebbe essere stato esposto tramite log CI/CD, repository infetti o registri di furto dati .
• Applicare Rigorosamente l'MFA: Richiedere l'autenticazione a più fattori, preferibilmente usando chiavi di sicurezza hardware, per tutti gli account dei collaboratori per prevenire intrusioni basate su credenziali .
• Rivedere i Confini di Fiducia degli Strumenti AI: Trattare i repository non fidati come si farebbe con un file eseguibile sconosciuto. Configurare gli agenti di codifica AI (Claude Code, Cursor, Gemini CLI, VS Code) in modo che non eseguano o leggano automaticamente file di configurazione e attività dai repository .
• Rafforzare le Pipeline CI/CD: Verificare i flussi di lavoro di GitHub Actions per limitare l'accesso in scrittura ai token, rimuovere i token inutilizzati e imporre l'uso di credenziali a breve scadenza .
• Migliorare l'Igiene della Catena di Fornitura: Usare strumenti di scansione delle dipendenze, generare un SBOM (Software Bill of Materials) e verificare la provenienza dei pacchetti prima dell'installazione. Monitorare la presenza di script di pre o post-installazione offuscati .