Miasma-attacken: Från open source‑verktyg till intrång hos Red Hat och Microsoft

Dessa commits var långt ifrån harmlösa. I arkivet RedHatInsights/javascript-clients injicerade angriparen ett skadligt GitHub Actions-arbetsflöde som begärde OIDC‑identitetstoken och körde en förvirrad, maskerad nyttolast . Nyttolasten publicerade 32 trojaniserade paketversioner under den officiella npm‑domänen @redhat-cloud-services, vart och ett märkt med kampanjtexten ”Miasma: The Spreading Blight” . Eftersom paketen flödade genom Red Hats legitima CI/CD‑pipeline och använde giltiga OIDC‑publiceringsflöden bar de äkta SLSA‑proveniensignaturer – vilket innebär att standardkontroller skulle flagga dem som verifierade .

De skadliga paketen hade i snitt cirka 80 000 veckovisa nedladdningar . Så fort en utvecklare körde

npm install

Maskens mest anmärkningsvärda beteende var inte bara stöld av inloggningsuppgifter – det var exploateringen av AI‑kodverktyg. Varianter av Miasma planterade skadliga regelfiler som riktade sig mot Claude Code, Cursor, Gemini CLI och GitHub Copilot. Dessa filer är utformade för att exekvera automatiskt när en utvecklare helt enkelt klonar och öppnar det komprometterade arkivet i sin utvecklingsmiljö . Att bara läsa koden – utan att någonsin installera ett paket – kunde alltså utlösa nyttolasten.

Den 5 juni 2026 nådde masken Microsoft. En skadlig commit med titeln “Switched DataConverter to OrchestrationContext [skip ci]” landade i arkivet Azure/durabletask. Dess metadata manipulerades för att visa commit‑datumet som den 9 mars 2020, troligen för att undgå misstankar . Den commiten blev landstigningspunkten. Därifrån spred sig masken till 73 arkiv över fyra Microsoft‑organisationer på GitHub: Azure, Azure‑Samples, Microsoft och MicrosoftDocs . Bland de drabbade projekten fanns kritisk infrastruktur som azure-functions-host och hela Durable Task‑familjen i .NET, Go, Java, JavaScript, MSSQL och Python .

Ursprunget: TeamPCP och öppna källkods‑publiceringen av Mini Shai‑Hulud

För att förstå Miasma måste man förstå TeamPCP:s beslut att publicera sitt vapen som öppen källkod.

TeamPCP (som även spåras som Replicating Marauder, TGR‑CRI‑1135 och UNC6780) är en hotgrupp som under 2025 och början av 2026 finslipade en familj av självspridande leveranskedje‑maskar. Deras aktivitet kulminerade den 11 maj 2026, när de publicerade 373 skadliga paketversioner över 172 npm‑ och PyPI‑paket, med ett sammanlagt nedladdningstal över 518 miljoner . Redan den kampanjen visade maskens förmåga att extrahera OIDC‑token från GitHub Actions‑körningsminne, erhålla giltiga signeringscertifikat och producera skadliga paket med passerande proveniensattestering .

Den 12 maj 2026 publicerade TeamPCP hela Mini Shai‑Hulud‑källkoden på GitHub under en MIT‑licens . Samtidigt utlyste gruppen en tävling på BreachForums, med 1 000 dollar i Monero till den som genomförde den största leveranskedjeattacken med deras ramverk . Budskapet var uttalat: verktygslådan var nu allmän egendom.

Inom fem dagar hade ett enda npm‑användarkonto tryckt ut fyra skadliga paket, inklusive en nästan ordagrann klon av Shai‑Hulud‑masken. OX Security analyserade klonen och fann att den lyfts ”nästan utan någon förändring alls”, med skillnader endast i angriparens egen kommando‑och‑kontroll‑ändpunkt och privata nyckel . Industrialiseringen av leveranskedjeattacker hade börjat – och försvararna visste ännu inte om det.

Sjutton dagar efter öppna källkods‑publiceringen drabbade Miasma Red Hat. Den skadliga koden är en strukturell variant av Mini Shai‑Hulud, där de ursprungliga Dune‑inspirerade referenserna ersatts av grekisk mytologi . Men tekniken – preinstall‑skriptkörning, maskerade JavaScript‑nyttolaster, skörd av inloggningsuppgifter och själv‑spridning via CI/CD – är i allt väsentligt identisk .

Avgörande är att forskare inte slutgiltigt kan tillskriva Miasma till TeamPCP själva. Cloud Security Alliance påpekar uttryckligen att ”kopieringsaktörer som använder samma publikt publicerade kodbas inte kan uteslutas” . Palo Alto Networks Unit 42 förstärker detta och konstaterar att ”attribueringen förblir osäker” eftersom den publika publiceringen av källkoden innebär att varje kompetent aktör kan återskapa samma attack . Denna tvetydighet är inte en fotnot – det är en avsiktlig egenskap i open‑source‑strategin, utformad för att dränka ekosystemet i brus och överbelasta attribueringsinsatser .

Kopieringsvågen: Phantom Gyp och ekosystemexpansion

Det öppna källkods‑ramverket möjliggjorde inte bara Miasma – det skapade en våg av omedelbar kopieringsaktivitet.

Den 3 juni 2026 dök en ny variant kallad Phantom Gyp upp och nådde ytterligare 57 npm‑paket, däribland @vapi-ai/server-sdk och ai-sdk-ollama . Den här varianten använde en beväpnad binding.gyp‑fil för att exekvera skadlig kod under paketinstallation och kringgick därmed den numera granskade exekveringsvägen postinstall . Forskare vid OpenSourceMalware bekräftade att kampanjen var den första dokumenterade användningen av TeamPCP:s ramverk i praktiken, trots att TeamPCP aldrig tog på sig ansvaret .

Den 8 juni rapporterade SANS Internet Storm Center att den bredare angriparkåren nu aktivt använde det öppna Mini Shai‑Hulud‑ramverket och att flera oberoende hotaktörer lanserade egna kampanjer . Den skadliga koden hade spridits bortom npm: forskare identifierade en Ruby‑variant som verkade vara LLM‑översatt – en grov men funktionell portning som inte ingick i den ursprungliga open‑source‑koden . Anpassningstakten, från npm till flera ekosystem, underströk hur grundligt attackytan hade förändrats.

Organisationsresponsen: snabbhet, störning och policy

Responsen på Miasma var ovanligt snabb och ovanligt offentlig, vilket speglar både komprometteringens omfattning och inblandningen av stora plattformsägare.

GitHub agerade omedelbart. Plattformen inaktiverade fler än 70 Microsoft‑ägda arkiv inom cirka 105 minuter efter upptäckt den 5 juni 2026 . De inaktiverade arkiven spände över Azure, Azure‑Samples, Microsoft och MicrosoftDocs . Inom dagar återställdes samtliga arkiv och förklarades rena, även om vissa drabbade Microsoft‑pipelines stördes under nedstängningen .

Microsoft publicerade en detaljerad teknisk analys via sitt Threat Intelligence‑team den 2 juni 2026, som täckte hela attackkedjan från det initiala Red Hat‑intrånget via CI/CD‑exploateringen . Microsoft tog också det högst ovanliga steget att ta bort 73 av sina egna arkiv och meddelade BleepingComputer att beslutet fattats av oro för att arkiven distribuerade ”potentiellt skadligt innehåll” . Störningen i Microsofts interna CI/CD‑arbetsflöden visade att inte ens plattformsägaren var immun mot konsekvenserna av en leveranskedje‑mask.

Red Hat publicerade säkerhetsbulletinen RHSB‑2026‑006 den 1 juni 2026 och bekräftade komprometteringen samt att intrånget var begränsat till interna utvecklingsverktyg utan påverkan på Red Hat Enterprise Linux eller OpenShift‑produkter . Företaget återkallade alla drabbade npm‑paketversioner och varnade nedströmskonsumenter.

Storbritanniens NCSC (National Cyber Security Centre) eskalerade händelsen till en bredare policysatsning. Den 4 juni 2026 publicerade NCSC ett blogginlägg som uttryckligen uppmanade organisationer att se över sina beroenden av öppen källkod och minska exponeringen för leveranskedjeattacker . Tajmingen var ingen tillfällighet – inlägget refererade direkt till Miasma‑kampanjen som katalysator . Den 9 juni 2026 släppte NCSC en uppdaterad Cyber Essentials‑handbok för leveranskedjor och uppmanade brittiska företag att göra Cyber Essentials‑certifiering till ett standardkrav för leverantörer .

NCSC:s vägledning fokuserade på tre kategorier: synlighet (granska paketuppdateringar, identifiera oväntade beroenden och underhåll en programvaruinventarieförteckning), bedömning (utvärdera leverantörers säkerhetspraxis) och handling (säkra leveranskedjan som en prioriterad styrelsefråga) . Den brittiska regeringen engagerade sig också formellt kring TeamPCP‑kampanjen, vilket speglar ett skifte där säkerhet i beroenden av öppen källkod nu behandlas som en nationell cybersäkerhetspolitisk fråga snarare än enbart individuell utvecklarhygien.

Varför Miasma spelar roll: de bredare implikationerna

Miasma‑attacken är inte den största leveranskedjebrottet i historien, och inte heller den mest sofistikerade. Men den kan vara den mest lärorika för att förstå vad som kommer härnäst.

För det första har attackramverk med öppen källkod beväpnat ekosystemet. TeamPCP:s beslut att publicera Mini Shai‑Hulud under en MIT‑licens är en avsiktlig strategi: beväpna en armé av kopieringsaktörer, skapa attribueringskaos och tvinga försvarare att stå emot ett okänt antal oberoende aktörer som använder samma spelplan . Detta är inte teoretiskt – kopieringsaktivitet dokumenterades inom fem dagar efter publiceringen, och attribueringen av själva Miasma är fortfarande osäker flera veckor senare .

För det andra är npm:s preinstall‑hook en systemisk sårbarhet. Attacken utnyttjar upprepade gånger en funktion utformad för legitima byggskript men saknar tillräckliga kontroller kring körning av livscykelskript . Framväxten av binding.gyp som en ytterligare exekveringsvektor i Phantom Gyp‑varianten visar att angripare aktivt söker nya livscykler att kapa . Register‑nivåbegränsningar för preinstall och andra livscykelskript är nu en akut prioritet.

För det tredje har AI‑kodassistenter blivit en exekveringsyta. Miasma är en av de första dokumenterade leveranskedjeattacker som specifikt riktar in sig på Claude Code, Cursor, Copilot och Gemini CLI som nyttolastleveransmekanismer via skadliga regelfiler . När en utvecklare klonar ett repo och öppnar det kan AI‑verktygen som är utformade för att hjälpa till att skriva bättre kod i stället exekvera skadlig kod. Denna vektor kommer sannolikt att expandera i takt med att AI‑assisterad utveckling blir standardarbetsflödet.

För det fjärde är CI/CD‑pipelines nu de mest högvärdiga målen. Maskens förmåga att extrahera OIDC‑token från arbetsflödesminnet och producera paket med giltiga SLSA‑proveniensattesteringar innebär att standardkryptografisk verifiering – guldstandarden för leveranskedjeintegritet – kan kringgås . Om provenienskontroller passerar har försvarare ingen signal för att flagga komprometteringen. Att säkra CI/CD‑pipelines från exponering av inloggningsuppgifter är inte längre frivilligt.

Slutligen har statliga ingripanden nått hantering av beroenden av öppen källkod. NCSC:s uppdaterade handbok är inte rådgivande – det är en konkret uppmaning till brittiska företag att bädda in leveranskedjesäkerhet i upphandling . Organisationer som behandlar beroendegranskning som en engångsrevision, snarare än en kontinuerlig process, opererar med en säkerhetshållning från tiden före Miasma.