Verme Miasma Atinge a Microsoft: 73 Repositórios do Azure no GitHub Desativados em 105 Segundos
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos. A origem do ataque foi a conta GitHub comprometida de um funcionário da Red Hat, usada para envenenar 32 pacotes npm (@redhat cloud services) e roubar crede...
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos.
A origem do ataque foi a conta GitHub comprometida de um funcionário da Red Hat, usada para envenenar 32 pacotes npm (@redhat cloud services) e roubar credenciais, que foram reutilizadas para comprometer a Microsoft.
A campanha representa uma evolução perigosa ao mirar agentes de IA como Claude Code e Cursor, injetando instruções maliciosas em arquivos de configuração que essas ferramentas executam automaticamente.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Em uma escalada drástica de um ataque contínuo à cadeia de suprimentos, a presença da Microsoft no GitHub foi diretamente comprometida em 5 de junho de 2026. Um commit malicioso, inserido por uma conta de colaborador sequestrada dias antes, acionou as defesas automatizadas do GitHub, que desativaram 73 repositórios em quatro das organizações de código aberto mais críticas da Microsoft em uma varredura relâmpago de 105 segundos . Este incidente foi o clímax de uma campanha de uma semana do worm Miasma, que já havia envenenado o registro npm e agora demonstrava uma nova capacidade assustadora: mirar agentes de codificação de IA.
A Origem: Comprometimento da Cadeia de Suprimentos npm da Red Hat
O ataque começou em 1º de junho de 2026, quando pesquisadores de segurança da Aikido e OX Security descobriram código malicioso injetado no namespace npm , um conjunto de pacotes que alimentam o Red Hat Hybrid Cloud Console. No total, 32 pacotes em 96 versões maliciosas foram comprometidos, acumulando cerca de 117.000 downloads semanais .
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Verme Miasma Atinge a Microsoft: 73 Repositórios do Azure no GitHub Desativados em 105 Segundos"?
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos.
Quais são os pontos-chave para validar primeiro?
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos. A origem do ataque foi a conta GitHub comprometida de um funcionário da Red Hat, usada para envenenar 32 pacotes npm (@redhat cloud services) e roubar credenciais, que foram reutilizadas para comprometer a Microsoft.
O que devo fazer a seguir na prática?
A campanha representa uma evolução perigosa ao mirar agentes de IA como Claude Code e Cursor, injetando instruções maliciosas em arquivos de configuração que essas ferramentas executam automaticamente.
Verme Miasma Atinge a Microsoft: 73 Repositórios do Azure no GitHub Desativados em 105 Segundos
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos. A origem do ataque foi a conta GitHub comprometida de um funcionário da Red Hat, usada para envenenar 32 pacotes npm (@redhat cloud services) e roubar crede...
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos.
A origem do ataque foi a conta GitHub comprometida de um funcionário da Red Hat, usada para envenenar 32 pacotes npm (@redhat cloud services) e roubar credenciais, que foram reutilizadas para comprometer a Microsoft.
A campanha representa uma evolução perigosa ao mirar agentes de IA como Claude Code e Cursor, injetando instruções maliciosas em arquivos de configuração que essas ferramentas executam automaticamente.
What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm coA conceptual security alert for the Miasma worm's spread from npm to Microsoft's Azure GitHub organizations.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What happened in the June 5, 2026 Miasma worm attack on Microsoft's Azure GitHub organizations, how did it originate from the Red Hat npm co. Article summary: Here is the full breakdown of the June 2026 Miasma worm campaign across the Red Hat npm compromise and the Microsoft Azure GitHub attack.. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud credential theft (GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCor" source context "Miasma Supply Chain Attack Hits Red Hat @redhat-cloud-services ..." Reference image 2: visual subject "**Impact**: At least 32 @redhat-cloud-services packages / 96 malicious versions were backdoored; multi-cloud cre
openai.com
Em uma escalada drástica de um ataque contínuo à cadeia de suprimentos, a presença da Microsoft no GitHub foi diretamente comprometida em 5 de junho de 2026. Um commit malicioso, inserido por uma conta de colaborador sequestrada dias antes, acionou as defesas automatizadas do GitHub, que desativaram 73 repositórios em quatro das organizações de código aberto mais críticas da Microsoft em uma varredura relâmpago de 105 segundos . Este incidente foi o clímax de uma campanha de uma semana do worm Miasma, que já havia envenenado o registro npm e agora demonstrava uma nova capacidade assustadora: mirar agentes de codificação de IA.
A Origem: Comprometimento da Cadeia de Suprimentos npm da Red Hat
O ataque começou em 1º de junho de 2026, quando pesquisadores de segurança da Aikido e OX Security descobriram código malicioso injetado no namespace npm , um conjunto de pacotes que alimentam o Red Hat Hybrid Cloud Console. No total, 32 pacotes em 96 versões maliciosas foram comprometidos, acumulando cerca de 117.000 downloads semanais .
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Verme Miasma Atinge a Microsoft: 73 Repositórios do Azure no GitHub Desativados em 105 Segundos"?
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos.
Quais são os pontos-chave para validar primeiro?
Em 5 de junho de 2026, um ataque do worm autorreplicante Miasma forçou o GitHub a desativar automaticamente 73 repositórios da Microsoft em apenas 105 segundos. A origem do ataque foi a conta GitHub comprometida de um funcionário da Red Hat, usada para envenenar 32 pacotes npm (@redhat cloud services) e roubar credenciais, que foram reutilizadas para comprometer a Microsoft.
O que devo fazer a seguir na prática?
A campanha representa uma evolução perigosa ao mirar agentes de IA como Claude Code e Cursor, injetando instruções maliciosas em arquivos de configuração que essas ferramentas executam automaticamente.
A causa raiz não foi um simples vazamento de token, mas uma invasão completa de conta. Os atacantes comprometeram a conta GitHub de um funcionário da Red Hat e usaram esse acesso para injetar commits maliciosos no pipeline de CI/CD do RedHatInsights/javascript-clients. Isso permitiu que eles abusassem do mecanismo de publicação confiável do GitHub, cunhando atestações de proveniência SLSA autênticas para suas versões de pacotes backdoor e enviando-as diretamente para o registro npm .
Os pacotes comprometidos continham um script preinstall que era executado automaticamente durante a instalação, baixando um payload de 28 KB que roubava credenciais. Este malware, identificado como uma nova variante da família Mini Shai-Hulud, apelidada de "Miasma" e atribuída ao grupo de atores de ameaça TeamPCP (embora imitadores usando o mesmo código de base público não pudessem ser descartados), agia como um worm autorreplicante .
5 de Junho: O Ataque Alcança o Microsoft Azure
As credenciais roubadas na fase da Red Hat foram novamente usadas em 5 de junho de 2026. Usando uma conta de colaborador previamente comprometida, os atacantes enviaram um único commit malicioso para o repositório Azure/durabletask. Este repositório já havia sido vítima de um comprometimento de pacote PyPI em 19 de maio, e a mesma conta de colaborador foi usada em ambos os ataques, destacando uma falha em revogar completamente todos os acessos após a violação inicial .
O commit malicioso continha arquivos de configuração que funcionavam como uma armadilha para agentes de IA de codificação. Quando um desenvolvedor abria o repositório em ferramentas como Claude Code, Gemini CLI, Cursor ou VS Code, os arquivos eram lidos automaticamente, injetando comandos que executavam um payload de roubo de credenciais .
A resposta do GitHub foi imediata e sem precedentes. Em uma varredura automatizada, a plataforma desativou 73 repositórios em quatro organizações GitHub da Microsoft :
Azure (incluindo todo o repositório Azure Functions Action)
Azure-Samples
Microsoft
MicrosoftDocs
Os repositórios afetados exibiam um aviso cinza: "Este repositório foi desabilitado. O acesso a este repositório foi desabilitado pela equipe do GitHub devido a uma violação dos termos de serviço do GitHub" .
Vetores de Ataque: Como o Worm Operava
A campanha Miasma usou uma estratégia de ataque multifacetada que combinava o envenenamento clássico da cadeia de suprimentos com novas técnicas de autopropagação e mira em IA.
Envenenamento do Registro npm: O vetor inicial usava pacotes com backdoor com scripts preinstall maliciosos que entregavam seu payload no momento em que um desenvolvedor executava npm install.
Autopropagação do Worm: Após infectar a máquina de um desenvolvedor, o payload de 28 KB coletava tokens do GitHub, tokens npm e outras credenciais. Em seguida, usava essas informações para fazer commits automáticos de código malicioso em qualquer outro repositório para o qual a vítima tivesse permissão de publicação, espalhando a infecção sem intervenção humana .
Roubo de Credenciais: O worm era um agressivo coletor de dados, visando credenciais da AWS, Azure, GCP, Kubernetes, HashiCorp Vault, mais de 90 configurações de ferramentas de desenvolvedor, chaves SSH, variáveis de ambiente, carteiras de criptomoedas e dados de persistência de ferramentas de IA .
Bypass da Publicação Confiável: Ao comprometer a conta GitHub de um funcionário, os atacantes podiam contornar o mecanismo de publicação confiável baseado em OIDC do GitHub, fazendo com que os pacotes maliciosos parecessem legítimos, com atestações de proveniência válidas .
Injeção em Agentes de IA de Codificação: Na fase Microsoft, o worm plantava instruções maliciosas em arquivos de configuração especificamente direcionados a assistentes de codificação de IA. Isso transforma as ferramentas de desenvolvedor em um vetor de ataque involuntário, executando automaticamente fluxos de trabalho controlados pelo atacante .
Remediação e Resposta
A remediação exigiu um esforço sincronizado de várias grandes empresas de tecnologia e segurança.
Em 5 de junho, o GitHub desativou 73 repositórios da Microsoft em uma varredura automática de 105 segundos para conter os danos .
Em 1º de junho, a Red Hat publicou o advisory RHSB-2026-006 e revogou todos os tokens npm e credenciais de publicação comprometidos, removendo os pacotes com backdoor do registro .
Em 2 de junho, a Microsoft Threat Intelligence publicou uma análise detalhada da cadeia de ataque, fornecendo orientações de detecção para a comunidade em geral .
Pesquisadores aconselharam fortemente todos os desenvolvedores afetados a rotacionar imediatamente todos os segredos de CI expostos, credenciais de nuvem, chaves SSH e tokens npm, auditar pipelines de CI/CD em busca de commits não autorizados e monitorar repositórios em busca da string de assinatura do worm: "Miasma – The Spreading Blight".
Ameaças Mais Amplas: A Campanha IronWorm e o Risco de Imitadores
O ataque Miasma não aconteceu isoladamente. Em 5 de junho, pesquisadores da Endor Labs e StepSecurity revelaram uma campanha separada, mas paralela, chamada de IronWorm, que havia comprometido um conjunto ainda maior de 57 pacotes npm em mais de 286 versões maliciosas para distribuir uma nova variante do worm Miasma . Isso demonstrou que os atores da ameaça estavam escalando agressivamente suas operações e experimentando novas técnicas, como abusar de arquivos binding.gyp para execução de código .
A Cloud Security Alliance (CSA) observou um risco crítico de longo prazo: embora a campanha tenha sido atribuída ao TeamPCP, o código de base foi divulgado publicamente. Isso significa que atores imitadores com as mesmas ferramentas ou modificadas não poderiam ser descartados, garantindo que o padrão de ataque do Miasma continuaria sendo uma ameaça .
A causa raiz não foi um simples vazamento de token, mas uma invasão completa de conta. Os atacantes comprometeram a conta GitHub de um funcionário da Red Hat e usaram esse acesso para injetar commits maliciosos no pipeline de CI/CD do RedHatInsights/javascript-clients. Isso permitiu que eles abusassem do mecanismo de publicação confiável do GitHub, cunhando atestações de proveniência SLSA autênticas para suas versões de pacotes backdoor e enviando-as diretamente para o registro npm .
Os pacotes comprometidos continham um script preinstall que era executado automaticamente durante a instalação, baixando um payload de 28 KB que roubava credenciais. Este malware, identificado como uma nova variante da família Mini Shai-Hulud, apelidada de "Miasma" e atribuída ao grupo de atores de ameaça TeamPCP (embora imitadores usando o mesmo código de base público não pudessem ser descartados), agia como um worm autorreplicante .
5 de Junho: O Ataque Alcança o Microsoft Azure
As credenciais roubadas na fase da Red Hat foram novamente usadas em 5 de junho de 2026. Usando uma conta de colaborador previamente comprometida, os atacantes enviaram um único commit malicioso para o repositório Azure/durabletask. Este repositório já havia sido vítima de um comprometimento de pacote PyPI em 19 de maio, e a mesma conta de colaborador foi usada em ambos os ataques, destacando uma falha em revogar completamente todos os acessos após a violação inicial .
O commit malicioso continha arquivos de configuração que funcionavam como uma armadilha para agentes de IA de codificação. Quando um desenvolvedor abria o repositório em ferramentas como Claude Code, Gemini CLI, Cursor ou VS Code, os arquivos eram lidos automaticamente, injetando comandos que executavam um payload de roubo de credenciais .
A resposta do GitHub foi imediata e sem precedentes. Em uma varredura automatizada, a plataforma desativou 73 repositórios em quatro organizações GitHub da Microsoft :
Azure (incluindo todo o repositório Azure Functions Action)
Azure-Samples
Microsoft
MicrosoftDocs
Os repositórios afetados exibiam um aviso cinza: "Este repositório foi desabilitado. O acesso a este repositório foi desabilitado pela equipe do GitHub devido a uma violação dos termos de serviço do GitHub" .
Vetores de Ataque: Como o Worm Operava
A campanha Miasma usou uma estratégia de ataque multifacetada que combinava o envenenamento clássico da cadeia de suprimentos com novas técnicas de autopropagação e mira em IA.
Envenenamento do Registro npm: O vetor inicial usava pacotes com backdoor com scripts preinstall maliciosos que entregavam seu payload no momento em que um desenvolvedor executava npm install.
Autopropagação do Worm: Após infectar a máquina de um desenvolvedor, o payload de 28 KB coletava tokens do GitHub, tokens npm e outras credenciais. Em seguida, usava essas informações para fazer commits automáticos de código malicioso em qualquer outro repositório para o qual a vítima tivesse permissão de publicação, espalhando a infecção sem intervenção humana .
Roubo de Credenciais: O worm era um agressivo coletor de dados, visando credenciais da AWS, Azure, GCP, Kubernetes, HashiCorp Vault, mais de 90 configurações de ferramentas de desenvolvedor, chaves SSH, variáveis de ambiente, carteiras de criptomoedas e dados de persistência de ferramentas de IA .
Bypass da Publicação Confiável: Ao comprometer a conta GitHub de um funcionário, os atacantes podiam contornar o mecanismo de publicação confiável baseado em OIDC do GitHub, fazendo com que os pacotes maliciosos parecessem legítimos, com atestações de proveniência válidas .
Injeção em Agentes de IA de Codificação: Na fase Microsoft, o worm plantava instruções maliciosas em arquivos de configuração especificamente direcionados a assistentes de codificação de IA. Isso transforma as ferramentas de desenvolvedor em um vetor de ataque involuntário, executando automaticamente fluxos de trabalho controlados pelo atacante .
Remediação e Resposta
A remediação exigiu um esforço sincronizado de várias grandes empresas de tecnologia e segurança.
Em 5 de junho, o GitHub desativou 73 repositórios da Microsoft em uma varredura automática de 105 segundos para conter os danos .
Em 1º de junho, a Red Hat publicou o advisory RHSB-2026-006 e revogou todos os tokens npm e credenciais de publicação comprometidos, removendo os pacotes com backdoor do registro .
Em 2 de junho, a Microsoft Threat Intelligence publicou uma análise detalhada da cadeia de ataque, fornecendo orientações de detecção para a comunidade em geral .
Pesquisadores aconselharam fortemente todos os desenvolvedores afetados a rotacionar imediatamente todos os segredos de CI expostos, credenciais de nuvem, chaves SSH e tokens npm, auditar pipelines de CI/CD em busca de commits não autorizados e monitorar repositórios em busca da string de assinatura do worm: "Miasma – The Spreading Blight".
Ameaças Mais Amplas: A Campanha IronWorm e o Risco de Imitadores
O ataque Miasma não aconteceu isoladamente. Em 5 de junho, pesquisadores da Endor Labs e StepSecurity revelaram uma campanha separada, mas paralela, chamada de IronWorm, que havia comprometido um conjunto ainda maior de 57 pacotes npm em mais de 286 versões maliciosas para distribuir uma nova variante do worm Miasma . Isso demonstrou que os atores da ameaça estavam escalando agressivamente suas operações e experimentando novas técnicas, como abusar de arquivos binding.gyp para execução de código .
A Cloud Security Alliance (CSA) observou um risco crítico de longo prazo: embora a campanha tenha sido atribuída ao TeamPCP, o código de base foi divulgado publicamente. Isso significa que atores imitadores com as mesmas ferramentas ou modificadas não poderiam ser descartados, garantindo que o padrão de ataque do Miasma continuaria sendo uma ameaça .
