Cecacing Miasma Menyerang Microsoft: 73 Repositori Azure dan GitHub Dilumpuhkan
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat. Serangan itu dipercayai berpunca daripada pengambilalihan akaun GitHub seorang pekerja Red Hat, yang digunakan untuk mencemari 32 pakej...
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat.
Serangan itu dipercayai berpunca daripada pengambilalihan akaun GitHub seorang pekerja Red Hat, yang digunakan untuk mencemari 32 pakej npm di bawah ruang nama @redhat cloud services serta mencuri kelayakan akses.
Miasma menunjukkan evolusi berbahaya dalam serangan rantaian bekalan dengan menyasarkan ejen pengekodan AI seperti Claude Code, Gemini CLI, Cursor dan VS Code melalui fail konfigurasi berniat jahat.
Penyelidik menasihatkan organisasi terjejas supaya segera menukar semua rahsia CI, kelayakan awan, kunci SSH dan token npm, selain mengaudit saluran paip CI/CD untuk mengesan komit tanpa kebenaran.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Pada 5 Jun 2026, serangan rantaian bekalan perisian Miasma mencapai infrastruktur GitHub Microsoft. Satu komit berniat jahat yang dihantar melalui akaun penyumbang yang telah diambil alih mencetuskan tindakan pertahanan automatik GitHub, lalu melumpuhkan 73 repositori dalam empat organisasi sumber terbuka Microsoft hanya dalam 105 saat .
Insiden itu merupakan kemuncak kempen yang telah berlangsung selama kira-kira seminggu. Sebelum menyasarkan Microsoft, Miasma terlebih dahulu mencemari pendaftaran npm dan mencuri kelayakan pembangun. Malware itu kemudian menunjukkan keupayaan baharu yang membimbangkan: memanipulasi ejen pengekodan berasaskan AI.
Bagaimana serangan bermula di Red Hat
Pada 1 Jun 2026, penyelidik keselamatan daripada Aikido dan OX Security mengesan kod berniat jahat dalam ruang nama npm . Pakej-pakej ini digunakan untuk menggerakkan Red Hat Hybrid Cloud Console. Sebanyak 32 pakej merangkumi 96 versi berniat jahat telah terjejas, dengan jumlah muat turun kira-kira 117,000 seminggu .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Cecacing Miasma Menyerang Microsoft: 73 Repositori Azure dan GitHub Dilumpuhkan"?
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat.
What are the key points to validate first?
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat. Serangan itu dipercayai berpunca daripada pengambilalihan akaun GitHub seorang pekerja Red Hat, yang digunakan untuk mencemari 32 pakej npm di bawah ruang nama @redhat cloud services serta mencuri kelayakan akses.
What should I do next in practice?
Miasma menunjukkan evolusi berbahaya dalam serangan rantaian bekalan dengan menyasarkan ejen pengekodan AI seperti Claude Code, Gemini CLI, Cursor dan VS Code melalui fail konfigurasi berniat jahat.
Cecacing Miasma Menyerang Microsoft: 73 Repositori Azure dan GitHub Dilumpuhkan
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat. Serangan itu dipercayai berpunca daripada pengambilalihan akaun GitHub seorang pekerja Red Hat, yang digunakan untuk mencemari 32 pakej...
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat.
Serangan itu dipercayai berpunca daripada pengambilalihan akaun GitHub seorang pekerja Red Hat, yang digunakan untuk mencemari 32 pakej npm di bawah ruang nama @redhat cloud services serta mencuri kelayakan akses.
Miasma menunjukkan evolusi berbahaya dalam serangan rantaian bekalan dengan menyasarkan ejen pengekodan AI seperti Claude Code, Gemini CLI, Cursor dan VS Code melalui fail konfigurasi berniat jahat.
Penyelidik menasihatkan organisasi terjejas supaya segera menukar semua rahsia CI, kelayakan awan, kunci SSH dan token npm, selain mengaudit saluran paip CI/CD untuk mengesan komit tanpa kebenaran.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Pada 5 Jun 2026, serangan rantaian bekalan perisian Miasma mencapai infrastruktur GitHub Microsoft. Satu komit berniat jahat yang dihantar melalui akaun penyumbang yang telah diambil alih mencetuskan tindakan pertahanan automatik GitHub, lalu melumpuhkan 73 repositori dalam empat organisasi sumber terbuka Microsoft hanya dalam 105 saat .
Insiden itu merupakan kemuncak kempen yang telah berlangsung selama kira-kira seminggu. Sebelum menyasarkan Microsoft, Miasma terlebih dahulu mencemari pendaftaran npm dan mencuri kelayakan pembangun. Malware itu kemudian menunjukkan keupayaan baharu yang membimbangkan: memanipulasi ejen pengekodan berasaskan AI.
Bagaimana serangan bermula di Red Hat
Pada 1 Jun 2026, penyelidik keselamatan daripada Aikido dan OX Security mengesan kod berniat jahat dalam ruang nama npm . Pakej-pakej ini digunakan untuk menggerakkan Red Hat Hybrid Cloud Console. Sebanyak 32 pakej merangkumi 96 versi berniat jahat telah terjejas, dengan jumlah muat turun kira-kira 117,000 seminggu .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Cecacing Miasma Menyerang Microsoft: 73 Repositori Azure dan GitHub Dilumpuhkan"?
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat.
What are the key points to validate first?
Pada 5 Jun 2026, cecacing Miasma yang mampu merebak sendiri menyasarkan organisasi GitHub Microsoft dan menyebabkan 73 repositori dilumpuhkan dalam sapuan automatik selama 105 saat. Serangan itu dipercayai berpunca daripada pengambilalihan akaun GitHub seorang pekerja Red Hat, yang digunakan untuk mencemari 32 pakej npm di bawah ruang nama @redhat cloud services serta mencuri kelayakan akses.
What should I do next in practice?
Miasma menunjukkan evolusi berbahaya dalam serangan rantaian bekalan dengan menyasarkan ejen pengekodan AI seperti Claude Code, Gemini CLI, Cursor dan VS Code melalui fail konfigurasi berniat jahat.
Puncanya bukan sekadar kebocoran token penerbitan. Penyerang terlebih dahulu mengambil alih akaun GitHub seorang pekerja Red Hat, kemudian menggunakan akses tersebut untuk menyuntik komit berniat jahat ke dalam saluran paip CI/CD RedHatInsights/javascript-clients.
Akses itu membolehkan mereka menyalahgunakan mekanisme penerbitan dipercayai GitHub. Dengan menggunakan aliran kerja GitHub Actions dan token OIDC berjangka pendek, penyerang dapat menerbitkan pakej yang telah disuntik dengan pintu belakang terus ke pendaftaran npm, malah pakej tersebut membawa pengesahan asal SLSA yang kelihatan sah .
Versi pakej yang terjejas mengandungi skrip preinstall. Skrip ini berjalan secara automatik apabila pakej dipasang dan memuat turun muatan pencuri kelayakan berukuran 28 KB. Malware itu dikenal pasti sebagai varian baharu keluarga Mini Shai-Hulud yang digelar “Miasma” dan dikaitkan dengan kumpulan ancaman TeamPCP, walaupun kemungkinan pelaku peniru menggunakan kod sumber yang sama tidak dapat diketepikan .
5 Jun: Miasma sampai ke repositori Microsoft
Kelayakan yang dicuri dalam fasa Red Hat kemudiannya digunakan semula pada 5 Jun 2026. Penyerang menggunakan akaun penyumbang yang telah terjejas untuk menghantar satu komit berniat jahat ke repositori Azure/durabletask.
Repositori itu sebelum ini telah terjejas dalam kompromi pakej PyPI pada 19 Mei. Akaun penyumbang yang sama digunakan dalam kedua-dua insiden, menunjukkan bahawa semua akses mungkin tidak dibatalkan sepenuhnya selepas pencerobohan pertama .
Komit tersebut mengandungi fail konfigurasi yang berfungsi sebagai perangkap untuk ejen pengekodan AI. Apabila pembangun membuka repositori dalam alat seperti Claude Code, Gemini CLI, Cursor atau VS Code, fail berkenaan boleh dibaca secara automatik dan menyuntik arahan untuk menjalankan muatan yang mencuri kelayakan .
Sebagai langkah pembendungan, GitHub melumpuhkan 73 repositori merentasi empat organisasi Microsoft :
Azure, termasuk keseluruhan repositori Azure Functions Action;
Azure-Samples;
Microsoft; dan
MicrosoftDocs.
Repositori yang terjejas memaparkan notis kelabu: “This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub's terms of service” .
Lima cara Miasma merebak
Kempen ini menggabungkan teknik klasik pencemaran rantaian bekalan dengan kaedah penyebaran sendiri dan serangan yang menyasarkan alat AI.
Pencemaran pendaftaran npm: Pakej yang telah disuntik dengan skrip preinstall menjalankan kod berniat jahat sebaik sahaja pengguna melaksanakan npm install.
Penyebaran seperti cecacing: Selepas menjangkiti komputer pembangun, muatan 28 KB itu mencuri token GitHub, token npm dan kelayakan lain. Ia kemudian cuba menghantar kod berniat jahat ke repositori yang boleh diterbitkan oleh mangsa, membolehkan jangkitan merebak tanpa campur tangan manusia .
Pencurian kelayakan: Sasaran malware termasuk kelayakan AWS, Azure dan GCP, Kubernetes, HashiCorp Vault, lebih 90 konfigurasi alat pembangun, kunci SSH, pemboleh ubah persekitaran, dompet kripto serta data kegigihan alat AI .
Penyalahgunaan penerbitan dipercayai: Pengambilalihan akaun pekerja membolehkan penyerang menyalahgunakan saluran penerbitan berasaskan OIDC. Akibatnya, pakej berniat jahat kelihatan seperti binaan rasmi dengan pengesahan asal yang sah .
Suntikan arahan kepada ejen AI: Dalam fasa Microsoft, arahan berniat jahat disembunyikan dalam fail konfigurasi yang dibaca oleh pembantu pengekodan AI. Ini menjadikan alat pembangun sebagai saluran serangan yang boleh menjalankan aliran kerja dikawal penyerang tanpa disedari .
Tindakan pemulihan dan tindak balas
Beberapa langkah telah diambil untuk mengehadkan kesan kempen tersebut:
Pada 5 Jun, GitHub melumpuhkan 73 repositori Microsoft dalam sapuan automatik selama 105 saat .
Pada 1 Jun, Red Hat menerbitkan nasihat keselamatan RHSB-2026-006, membatalkan token npm dan kelayakan penerbitan yang terjejas serta mengeluarkan pakej tercemar daripada pendaftaran .
Pada 2 Jun, Microsoft Threat Intelligence menerbitkan analisis terperinci mengenai rantaian serangan dan panduan pengesanan untuk komuniti keselamatan .
Penyelidik menggesa pembangun terjejas supaya segera menukar semua rahsia CI, kelayakan awan, kunci SSH dan token npm. Mereka juga disaran mengaudit saluran paip CI/CD bagi mengesan komit tanpa kebenaran serta mencari rentetan penanda Miasma: “Miasma – The Spreading Blight”.
Ancaman lebih luas: IronWorm dan risiko pelaku peniru
Miasma bukan satu-satunya kempen yang didedahkan pada tempoh tersebut. Pada 5 Jun, Endor Labs dan StepSecurity melaporkan kempen berasingan yang dikenali sebagai IronWorm. Kempen itu menjejaskan 57 pakej npm merangkumi lebih 286 versi berniat jahat untuk menghantar varian baharu cecacing Miasma .
Penyelidik turut mengenal pasti teknik baharu, termasuk penyalahgunaan fail binding.gyp untuk menjalankan kod berniat jahat . Perkembangan ini menunjukkan bahawa pelaku sedang memperluas skala operasi dan mencuba kaedah baharu untuk mengelak kawalan keselamatan biasa.
Cloud Security Alliance pula memberi amaran tentang risiko jangka panjang. Walaupun kempen asal dikaitkan dengan TeamPCP, asas kod Miasma telah diterbitkan kepada umum. Oleh itu, pelaku peniru yang menggunakan alat sama atau versi yang diubah suai masih tidak boleh diketepikan .
Bagi organisasi yang menggunakan pakej sumber terbuka dan alat pengekodan AI, pengajaran paling penting daripada insiden ini ialah reputasi penerbit atau tanda pengesahan tidak semestinya menjamin keselamatan. Akaun pembangun, aliran kerja CI/CD, token sementara dan fail konfigurasi semuanya boleh menjadi titik masuk jika akses tidak diaudit serta-merta selepas berlaku pencerobohan.
Puncanya bukan sekadar kebocoran token penerbitan. Penyerang terlebih dahulu mengambil alih akaun GitHub seorang pekerja Red Hat, kemudian menggunakan akses tersebut untuk menyuntik komit berniat jahat ke dalam saluran paip CI/CD RedHatInsights/javascript-clients.
Akses itu membolehkan mereka menyalahgunakan mekanisme penerbitan dipercayai GitHub. Dengan menggunakan aliran kerja GitHub Actions dan token OIDC berjangka pendek, penyerang dapat menerbitkan pakej yang telah disuntik dengan pintu belakang terus ke pendaftaran npm, malah pakej tersebut membawa pengesahan asal SLSA yang kelihatan sah .
Versi pakej yang terjejas mengandungi skrip preinstall. Skrip ini berjalan secara automatik apabila pakej dipasang dan memuat turun muatan pencuri kelayakan berukuran 28 KB. Malware itu dikenal pasti sebagai varian baharu keluarga Mini Shai-Hulud yang digelar “Miasma” dan dikaitkan dengan kumpulan ancaman TeamPCP, walaupun kemungkinan pelaku peniru menggunakan kod sumber yang sama tidak dapat diketepikan .
5 Jun: Miasma sampai ke repositori Microsoft
Kelayakan yang dicuri dalam fasa Red Hat kemudiannya digunakan semula pada 5 Jun 2026. Penyerang menggunakan akaun penyumbang yang telah terjejas untuk menghantar satu komit berniat jahat ke repositori Azure/durabletask.
Repositori itu sebelum ini telah terjejas dalam kompromi pakej PyPI pada 19 Mei. Akaun penyumbang yang sama digunakan dalam kedua-dua insiden, menunjukkan bahawa semua akses mungkin tidak dibatalkan sepenuhnya selepas pencerobohan pertama .
Komit tersebut mengandungi fail konfigurasi yang berfungsi sebagai perangkap untuk ejen pengekodan AI. Apabila pembangun membuka repositori dalam alat seperti Claude Code, Gemini CLI, Cursor atau VS Code, fail berkenaan boleh dibaca secara automatik dan menyuntik arahan untuk menjalankan muatan yang mencuri kelayakan .
Sebagai langkah pembendungan, GitHub melumpuhkan 73 repositori merentasi empat organisasi Microsoft :
Azure, termasuk keseluruhan repositori Azure Functions Action;
Azure-Samples;
Microsoft; dan
MicrosoftDocs.
Repositori yang terjejas memaparkan notis kelabu: “This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub's terms of service” .
Lima cara Miasma merebak
Kempen ini menggabungkan teknik klasik pencemaran rantaian bekalan dengan kaedah penyebaran sendiri dan serangan yang menyasarkan alat AI.
Pencemaran pendaftaran npm: Pakej yang telah disuntik dengan skrip preinstall menjalankan kod berniat jahat sebaik sahaja pengguna melaksanakan npm install.
Penyebaran seperti cecacing: Selepas menjangkiti komputer pembangun, muatan 28 KB itu mencuri token GitHub, token npm dan kelayakan lain. Ia kemudian cuba menghantar kod berniat jahat ke repositori yang boleh diterbitkan oleh mangsa, membolehkan jangkitan merebak tanpa campur tangan manusia .
Pencurian kelayakan: Sasaran malware termasuk kelayakan AWS, Azure dan GCP, Kubernetes, HashiCorp Vault, lebih 90 konfigurasi alat pembangun, kunci SSH, pemboleh ubah persekitaran, dompet kripto serta data kegigihan alat AI .
Penyalahgunaan penerbitan dipercayai: Pengambilalihan akaun pekerja membolehkan penyerang menyalahgunakan saluran penerbitan berasaskan OIDC. Akibatnya, pakej berniat jahat kelihatan seperti binaan rasmi dengan pengesahan asal yang sah .
Suntikan arahan kepada ejen AI: Dalam fasa Microsoft, arahan berniat jahat disembunyikan dalam fail konfigurasi yang dibaca oleh pembantu pengekodan AI. Ini menjadikan alat pembangun sebagai saluran serangan yang boleh menjalankan aliran kerja dikawal penyerang tanpa disedari .
Tindakan pemulihan dan tindak balas
Beberapa langkah telah diambil untuk mengehadkan kesan kempen tersebut:
Pada 5 Jun, GitHub melumpuhkan 73 repositori Microsoft dalam sapuan automatik selama 105 saat .
Pada 1 Jun, Red Hat menerbitkan nasihat keselamatan RHSB-2026-006, membatalkan token npm dan kelayakan penerbitan yang terjejas serta mengeluarkan pakej tercemar daripada pendaftaran .
Pada 2 Jun, Microsoft Threat Intelligence menerbitkan analisis terperinci mengenai rantaian serangan dan panduan pengesanan untuk komuniti keselamatan .
Penyelidik menggesa pembangun terjejas supaya segera menukar semua rahsia CI, kelayakan awan, kunci SSH dan token npm. Mereka juga disaran mengaudit saluran paip CI/CD bagi mengesan komit tanpa kebenaran serta mencari rentetan penanda Miasma: “Miasma – The Spreading Blight”.
Ancaman lebih luas: IronWorm dan risiko pelaku peniru
Miasma bukan satu-satunya kempen yang didedahkan pada tempoh tersebut. Pada 5 Jun, Endor Labs dan StepSecurity melaporkan kempen berasingan yang dikenali sebagai IronWorm. Kempen itu menjejaskan 57 pakej npm merangkumi lebih 286 versi berniat jahat untuk menghantar varian baharu cecacing Miasma .
Penyelidik turut mengenal pasti teknik baharu, termasuk penyalahgunaan fail binding.gyp untuk menjalankan kod berniat jahat . Perkembangan ini menunjukkan bahawa pelaku sedang memperluas skala operasi dan mencuba kaedah baharu untuk mengelak kawalan keselamatan biasa.
Cloud Security Alliance pula memberi amaran tentang risiko jangka panjang. Walaupun kempen asal dikaitkan dengan TeamPCP, asas kod Miasma telah diterbitkan kepada umum. Oleh itu, pelaku peniru yang menggunakan alat sama atau versi yang diubah suai masih tidak boleh diketepikan .
Bagi organisasi yang menggunakan pakej sumber terbuka dan alat pengekodan AI, pengajaran paling penting daripada insiden ini ialah reputasi penerbit atau tanda pengesahan tidak semestinya menjamin keselamatan. Akaun pembangun, aliran kerja CI/CD, token sementara dan fail konfigurasi semuanya boleh menjadi titik masuk jika akses tidak diaudit serta-merta selepas berlaku pencerobohan.
