L'incidente di Microsoft GitHub è stato l'atto finale di una campagna iniziata giorni prima nella catena di fornitura del software open-source.
Il 1° giugno 2026, alcuni aggressori hanno usato l'account GitHub rubato di un dipendente Red Hat per pubblicare versioni alterate di 32 pacchetti npm ufficiali @redhat-cloud-services, per un totale di oltre 90 versioni . Microsoft Threat Intelligence ha ricondotto la compromissione alla pipeline CI/CD (Continuous Integration/Continuous Delivery) originale di
RedHatInsights/javascript-clients, permettendo agli aggressori di pubblicare pacchetti infetti con firme di provenienza autentiche e dall'aspetto legittimo . Questi pacchetti malevoli contenevano uno script di pre-installazione offuscato che, una volta attivato, eseguiva un programma per il furto di credenziali, gettando le basi per la più ampia propagazione di Miasma
.
La risposta all'attacco è stata rapida e decisa, ma le implicazioni dell'incidente sono profonde.
Miasma è un discendente diretto del framework worm Mini Shai-Hulud, un toolkit creato dal gruppo di minaccia noto come TeamPCP . La precedente campagna di TeamPCP, divulgata il 12 maggio 2026, aveva già compromesso oltre 170 pacchetti npm e PyPI, con più di 518 milioni di download cumulativi, prendendo di mira direttamente le librerie per sviluppatori AI
.
La situazione è ulteriormente complicata dal fatto che TeamPCP ha reso open-source il framework Mini Shai-Hulud . Ciò significa che un numero imprecisato di emulatori ha accesso allo stesso codice. Sebbene le tecniche e il codice colleghino fortemente Miasma alla stirpe di TeamPCP, diversi ricercatori di sicurezza avvertono che un'attribuzione definitiva al gruppo originale non è possibile, poiché qualsiasi attore in possesso del toolkit open-source potrebbe aver orchestrato in tutto o in parte questa specifica ondata di attacchi
.
L'attacco Miasma ridefinisce radicalmente i confini della sicurezza. Aprire un repository di codice non è più un'azione passiva e sicura. I ricercatori hanno condensato diverse raccomandazioni chiave:
Comments
0 comments