根本原因は単純なトークン漏洩ではなかった。完全なアカウント乗っ取りだった。攻撃者はRed Hat従業員のGitHubアカウントを侵害し、そのアクセス権を使って上流のRedHatInsights/javascript-clients CI/CDパイプラインに悪意あるコミットを注入した。これにより、GitHubのTrusted Publishing（信頼できる公開）メカニズムを悪用し、バックドア入りパッケージリリースに対して正規のSLSA（Supply-chain Levels for Software Artifacts）来歴証明書を発行させ、そのままnpmレジストリにプッシュすることに成功した。

侵害されたパッケージにはpreinstallスクリプトが含まれており、npm install実行時に自動的に実行される仕組みだった。このスクリプトは28KBの認証情報窃取ペイロードをダウンロードした。このマルウェアは「Mini Shai-Hulud」ファミリーの新亜種で「Miasma」と名付けられ、脅威アクターグループ「TeamPCP」によるものとされている（ただし、公開されたコードベースを使用したコピーキャットの可能性も排除できない）。このマルウェアは自己増殖型ワームとして機能した。

6月5日：攻撃がMicrosoft Azureに到達

Red Hatフェーズで盗まれた認証情報が、6月5日に再び武器化された。攻撃者は以前に侵害されたコントリビューターアカウントを使用し、Azure/durabletaskリポジトリに対して単一の悪意あるコミットをプッシュした。このリポジトリは5月19日にもPyPIパッケージ侵害の被害に遭っており、同じコントリビューターアカウントが両方の攻撃で使用されていたことは、初期侵害後にすべてのアクセス権限を完全に取り消せていなかった問題を浮き彫りにした。

この悪意あるコミットには、AIコーディングエージェントを標的とした設定ファイルが含まれていた。開発者がClaude Code、Gemini CLI、Cursor、VS CodeなどのAI搭載ツールでこのリポジトリを開くと、これらのファイルが自動的に読み取られ、認証情報を収集するペイロードを実行するコマンドが注入される仕組みだった。

GitHubの対応は迅速かつ前例のないものだった。自動化システムによる一斉スイープで、Microsoftの4つのGitHub組織にわたる73のリポジトリが無効化された。

• Azure（Azure Functions Actionリポジトリ全体を含む）
• Azure-Samples
• Microsoft
• MicrosoftDocs

影響を受けたリポジトリには、「このリポジトリは無効化されました。GitHubスタッフにより、GitHubの利用規約違反によりアクセスが無効化されました」というグレーの通知が表示された。

攻撃ベクター：ワームの動作メカニズム

Miasmaキャンペーンは、古典的なサプライチェーン汚染と、新たな自己増殖・AI標的化技術を組み合わせた多角的な攻撃戦略を採用した。

• npmレジストリ汚染: preinstallスクリプトによる初期感染。npm install実行時にペイロードが配信される。
• ワーム自己増殖: 感染した開発者マシンからGitHubトークン、npmトークンなどを収穫。それらを使って被害者が公開権限を持つ他のリポジトリにも自動的に悪意コードをコミットし、人を介さず感染を拡大させる。
• 認証情報収集: AWS、Azure、GCP、Kubernetes、HashiCorp Vault、90以上の開発ツール設定、SSH鍵、環境変数、暗号通貨ウォレット、AIツールの永続化データなどを標的とする28KBの積極的なデータ窃取ペイロード。
• Trusted Publishing回避: 従業員のGitHubアカウントを侵害することで、GitHubのOIDCベースTrusted Publishingメカニズムをバイパス。正規の来歴証明書を持つ悪意パッケージを合法に見せかけて公開した。
• AIコーディングエージェントへの注入（新規）: Microsoftフェーズでは、AIコーディングアシスタントを標的に設定ファイルに悪意の命令を埋め込んだ。これにより開発ツール自体が無意識の攻撃ベクターとなり、攻撃者制御下のワークフローを自動実行させる。

対応と修復

対応には、複数の大手テクノロジー・セキュリティ組織による同期した努力が必要だった。

• 6月5日: GitHubがMicrosoftの73リポジトリを105秒の自動スイープで無効化し、被害拡大を封じ込めた。
• 6月1日: Red Hatがセキュリティ勧告RHSB-2026-006を公開し、侵害されたnpmトークンと公開用認証情報をすべて無効化。バックドアパッケージをレジストリから削除した。
• 6月2日: Microsoft脅威インテリジェンスが攻撃チェーンの詳細な分析を公開。コミュニティ全体に向けた検知ガイダンスを提供した。
• 研究者らは、影響を受けた開発者に対し、すべてのCIシークレット、クラウド認証情報、SSH鍵、npmトークンの即時ローテーション、CI/CDパイプラインの不正コミット監査、そしてリポジトリ内にワームの署名文字列「Miasma – The Spreading Blight」が存在しないかの確認を強く推奨した。

より広範な脅威：IronWormキャンペーンとコピーキャットリスク

Miasma攻撃は単独で発生したわけではない。6月5日、Endor LabsとStepSecurityの研究者は、IronWormと名付けた別の並行キャンペーンを公開した。こちらはさらに多くの57のnpmパッケージ、286以上の悪意バージョンを侵害し、新たなMiasmaワーム変種を拡散していた。これは脅威アクターが攻撃を積極的に拡大し、binding.gypファイルを悪用したコード実行など新たな手法を実験していることを示している。

Cloud Security Alliance（CSA）は、長期的なリスクとして重要な点を指摘した。本キャンペーンはTeamPCPによるものとされるが、基盤となるコードベースが公開されているため、同一または改変されたツールを使用するコピーキャットの存在を排除できず、Miasmaの攻撃パターンは今後も脅威であり続けることを警告している。

根本原因は単純なトークン漏洩ではなかった。完全なアカウント乗っ取りだった。攻撃者はRed Hat従業員のGitHubアカウントを侵害し、そのアクセス権を使って上流のRedHatInsights/javascript-clients CI/CDパイプラインに悪意あるコミットを注入した。これにより、GitHubのTrusted Publishing（信頼できる公開）メカニズムを悪用し、バックドア入りパッケージリリースに対して正規のSLSA（Supply-chain Levels for Software Artifacts）来歴証明書を発行させ、そのままnpmレジストリにプッシュすることに成功した。

侵害されたパッケージにはpreinstallスクリプトが含まれており、npm install実行時に自動的に実行される仕組みだった。このスクリプトは28KBの認証情報窃取ペイロードをダウンロードした。このマルウェアは「Mini Shai-Hulud」ファミリーの新亜種で「Miasma」と名付けられ、脅威アクターグループ「TeamPCP」によるものとされている（ただし、公開されたコードベースを使用したコピーキャットの可能性も排除できない）。このマルウェアは自己増殖型ワームとして機能した。

6月5日：攻撃がMicrosoft Azureに到達

Red Hatフェーズで盗まれた認証情報が、6月5日に再び武器化された。攻撃者は以前に侵害されたコントリビューターアカウントを使用し、Azure/durabletaskリポジトリに対して単一の悪意あるコミットをプッシュした。このリポジトリは5月19日にもPyPIパッケージ侵害の被害に遭っており、同じコントリビューターアカウントが両方の攻撃で使用されていたことは、初期侵害後にすべてのアクセス権限を完全に取り消せていなかった問題を浮き彫りにした。

この悪意あるコミットには、AIコーディングエージェントを標的とした設定ファイルが含まれていた。開発者がClaude Code、Gemini CLI、Cursor、VS CodeなどのAI搭載ツールでこのリポジトリを開くと、これらのファイルが自動的に読み取られ、認証情報を収集するペイロードを実行するコマンドが注入される仕組みだった。

GitHubの対応は迅速かつ前例のないものだった。自動化システムによる一斉スイープで、Microsoftの4つのGitHub組織にわたる73のリポジトリが無効化された。

• Azure（Azure Functions Actionリポジトリ全体を含む）
• Azure-Samples
• Microsoft
• MicrosoftDocs

影響を受けたリポジトリには、「このリポジトリは無効化されました。GitHubスタッフにより、GitHubの利用規約違反によりアクセスが無効化されました」というグレーの通知が表示された。

攻撃ベクター：ワームの動作メカニズム

Miasmaキャンペーンは、古典的なサプライチェーン汚染と、新たな自己増殖・AI標的化技術を組み合わせた多角的な攻撃戦略を採用した。

• npmレジストリ汚染: preinstallスクリプトによる初期感染。npm install実行時にペイロードが配信される。
• ワーム自己増殖: 感染した開発者マシンからGitHubトークン、npmトークンなどを収穫。それらを使って被害者が公開権限を持つ他のリポジトリにも自動的に悪意コードをコミットし、人を介さず感染を拡大させる。
• 認証情報収集: AWS、Azure、GCP、Kubernetes、HashiCorp Vault、90以上の開発ツール設定、SSH鍵、環境変数、暗号通貨ウォレット、AIツールの永続化データなどを標的とする28KBの積極的なデータ窃取ペイロード。
• Trusted Publishing回避: 従業員のGitHubアカウントを侵害することで、GitHubのOIDCベースTrusted Publishingメカニズムをバイパス。正規の来歴証明書を持つ悪意パッケージを合法に見せかけて公開した。
• AIコーディングエージェントへの注入（新規）: Microsoftフェーズでは、AIコーディングアシスタントを標的に設定ファイルに悪意の命令を埋め込んだ。これにより開発ツール自体が無意識の攻撃ベクターとなり、攻撃者制御下のワークフローを自動実行させる。

対応と修復

対応には、複数の大手テクノロジー・セキュリティ組織による同期した努力が必要だった。

• 6月5日: GitHubがMicrosoftの73リポジトリを105秒の自動スイープで無効化し、被害拡大を封じ込めた。
• 6月1日: Red Hatがセキュリティ勧告RHSB-2026-006を公開し、侵害されたnpmトークンと公開用認証情報をすべて無効化。バックドアパッケージをレジストリから削除した。
• 6月2日: Microsoft脅威インテリジェンスが攻撃チェーンの詳細な分析を公開。コミュニティ全体に向けた検知ガイダンスを提供した。
• 研究者らは、影響を受けた開発者に対し、すべてのCIシークレット、クラウド認証情報、SSH鍵、npmトークンの即時ローテーション、CI/CDパイプラインの不正コミット監査、そしてリポジトリ内にワームの署名文字列「Miasma – The Spreading Blight」が存在しないかの確認を強く推奨した。

より広範な脅威：IronWormキャンペーンとコピーキャットリスク

Miasma攻撃は単独で発生したわけではない。6月5日、Endor LabsとStepSecurityの研究者は、IronWormと名付けた別の並行キャンペーンを公開した。こちらはさらに多くの57のnpmパッケージ、286以上の悪意バージョンを侵害し、新たなMiasmaワーム変種を拡散していた。これは脅威アクターが攻撃を積極的に拡大し、binding.gypファイルを悪用したコード実行など新たな手法を実験していることを示している。

Cloud Security Alliance（CSA）は、長期的なリスクとして重要な点を指摘した。本キャンペーンはTeamPCPによるものとされるが、基盤となるコードベースが公開されているため、同一または改変されたツールを使用するコピーキャットの存在を排除できず、Miasmaの攻撃パターンは今後も脅威であり続けることを警告している。