เจาะลึก Miasma Supply Chain Attack: เมื่อหนอนโอเพนซอร์สแพร่เชื้อสู่ Microsoft และ Red Hat

ผลลัพธ์คือการปล่อยแพ็กเกจ npm จำนวนมากถึง 32 ตัวภายใต้ขอบเขต @redhat-cloud-services ซึ่งเป็นแพ็กเกจอย่างเป็นทางการของ Red Hat แต่ถูกซ่อนมัลแวร์ที่ใช้ชื่อว่า "Miasma: The Spreading Blight" ไว้ข้างใน เนื่องจากแพ็กเกจเหล่านี้ถูกสร้างผ่านกระบวนการ CI/CD ที่ถูกต้องตามกฎหมายของ Red Hat และใช้ OIDC workflow ในการยืนยันตัวตน พวกมันจึงมีลายเซ็นรับรอง SLSA provenance ที่ถูกต้องสมบูรณ์แบบ ซึ่งหมายความว่าการตรวจสอบความปลอดภัยตามมาตรฐานทั่วไปจะไม่มีทางตรวจจับได้เลย

แพ็กเกจที่ถูกวางยาพิษเหล่านี้มียอดดาวน์โหลดเฉลี่ยต่อสัปดาห์สูงถึงราวๆ 80,000 ครั้ง ทันทีที่นักพัฒนาคนใดก็ตามใช้คำสั่ง

npm install

แต่สิ่งที่ทำให้ Miasma น่ากลัวกว่าเวิร์มทั่วไปคือ มันไม่ได้หยุดแค่ขโมยข้อมูล แต่มันใช้ Credentials ที่ขโมยมาได้ในการปล่อยโค้ดอันตรายไปยังโปรเจกต์อื่นๆ ที่เหยื่อมีสิทธิ์เข้าถึง ทำให้คอมพิวเตอร์ของนักพัฒนาและระบบ CI/CD แต่ละเครื่องกลายเป็นจุดแพร่กระจายของมัลแวร์เพิ่มขึ้นเรื่อยๆ

จุดเปลี่ยนสำคัญเกิดขึ้นในวันที่ 5 มิถุนายน 2026 เมื่อหนอนได้กระโดดเข้าสู่ Microsoft ข้อความคอมมิตที่มีชื่อว่า “Switched DataConverter to OrchestrationContext [skip ci]” ถูกตรวจพบใน Azure/durabletask repository โดยผู้โจมตีได้แก้ไข metadata ให้แสดงวันที่ย้อนหลังไปเป็นวันที่ 9 มีนาคม 2020 เพื่อเบี่ยงเบนความสนใจ จากจุดนั้น หนอนได้แพร่กระจายไปอย่างรวดเร็วสู่ 73 repositories ใน 4 องค์กรของ Microsoft บน GitHub ได้แก่ Azure, Azure-Samples, Microsoft และ MicrosoftDocs โดยมีโปรเจกต์สำคัญอย่าง azure-functions-host และตระกูล Durable Task ทั้งหมดรวมอยู่ด้วย

ต้นตอของหายนะ: เมื่อเครื่องมือโอเพนซอร์สกลายเป็นอาวุธของทุกคน

หากต้องการเข้าใจ Miasma คุณต้องเข้าใจการตัดสินใจของกลุ่ม TeamPCP ที่เลือกจะ 'โอเพนซอร์ส' อาวุธของพวกเขา

TeamPCP (ซึ่งถูกติดตามในชื่ออื่นๆ เช่น Replicating Marauder, TGR-CRI-1135 และ UNC6780) เป็นกลุ่มผู้ไม่หวังดีที่ใช้เวลาตลอดปี 2025 และต้นปี 2026 ในการพัฒนาเวิร์มที่แพร่กระจายตัวเองได้ในซัพพลายเชน จุดสูงสุดของพวกเขาคือวันที่ 11 พฤษภาคม 2026 ซึ่งพวกเขาปล่อยแพ็กเกจอันตราย 373 เวอร์ชัน ใน 172 แพ็กเกจบนทั้ง npm และ PyPI โดยมียอดดาวน์โหลดรวมกันมากกว่า 518 ล้านครั้ง

เพียงหนึ่งวันหลังจากนั้น ในวันที่ 12 พฤษภาคม 2026 TeamPCP ก็ได้เผยแพร่ซอร์สโค้ดที่สมบูรณ์ของ Mini Shai-Hulud บน GitHub ภายใต้สัญญาอนุญาตแบบ MIT พร้อมกันนี้ พวกเขายังประกาศการแข่งขันบน BreachForums โดยเสนอเงินรางวัล 1,000 ดอลลาร์ในสกุลเงิน Monero สำหรับใครก็ตามที่สามารถใช้เครื่องมือของพวกเขาทำการโจมตีซัพพลายเชนที่ใหญ่ที่สุดได้ ข้อความนั้นชัดเจนมาก: เครื่องมือนี้เป็นสมบัติสาธารณะแล้ว

ภายในห้าวัน มีผู้ใช้ npm บัญชีหนึ่งปล่อยแพ็กเกจอันตราย 4 ตัว ซึ่งรวมถึงการโคลนเวิร์ม Shai-Hulud แทบจะเหมือนต้นฉบับทุกประการ OX Security ได้วิเคราะห์และพบว่ามันถูกคัดลอกมา "แทบจะไม่มีการเปลี่ยนแปลงใดๆ เลย" แตกต่างแค่เพียง C2 endpoint และ Private Key ของผู้โจมตีรายใหม่เท่านั้น นี่คือจุดเริ่มต้นของ 'อุตสาหกรรมการโจมตีซัพพลายเชน' อย่างแท้จริง

สิบเจ็ดวันหลังจากที่ซอร์สโค้ดถูกเปิดเผย Miasma ก็เข้าโจมตี Red Hat โค้ดของมัลแวร์นี้เป็นโครงสร้างที่ดัดแปลงมาจาก Mini Shai-Hulud โดยเปลี่ยนการอ้างอิงถึงธีมจากนวนิยาย Dune มาเป็นการอ้างอิงถึงเทพปกรณัมกรีกแทน แต่กลยุทธ์สำคัญๆ ยังคงเหมือนเดิมแทบทุกประการ

ด้วยเหตุนี้ นักวิจัยจึงไม่สามารถฟันธงได้ว่า Miasma เป็นฝีมือของ TeamPCP เอง ทาง Cloud Security Alliance ระบุอย่างชัดเจนว่า "ไม่สามารถตัดความเป็นไปได้ที่ผู้เลียนแบบจะใช้โค้ดเบสที่ถูกเปิดเผยต่อสาธารณะเดียวกัน" ได้ Palo Alto Networks Unit 42 ก็ตอกย้ำว่าการสืบหาที่มานั้น "ยังคงคลุมเครือ" เพราะการเปิดเผยซอร์สโค้ดทำให้ทุกคนที่มีความสามารถสามารถทำซ้ำการโจมตีแบบเดียวกันได้ ซึ่งนี่ไม่ใช่ข้อจำกัด แต่เป็น 'คุณสมบัติ' ที่ TeamPCP จงใจออกแบบมาเพื่อสร้างความโกลาหลและบั่นทอนความพยายามในการสืบสวน

คลื่นผู้เลียนแบบ: Phantom Gyp และการขยายอาณาจักร

เฟรมเวิร์กโอเพนซอร์สไม่ได้ให้กำเนิดแค่ Miasma แต่มันยังจุดชนวนให้เกิดคลื่นผู้เลียนแบบในทันที

ในวันที่ 3 มิถุนายน 2026 หนอนสายพันธุ์ใหม่ที่ชื่อว่า Phantom Gyp ก็ปรากฏตัวขึ้น โดยแพร่ไปยังแพ็กเกจ npm เพิ่มอีก 57 ตัว เช่น @vapi-ai/server-sdk และ ai-sdk-ollama สายพันธุ์นี้ใช้ไฟล์ binding.gyp ที่ถูกวางยาเป็นอาวุธเพื่อรันโค้ดอันตรายระหว่างการติดตั้งแพ็กเกจ ซึ่งเป็นการเลี่ยงเส้นทางที่ถูกจับตามองอย่าง postinstall นักวิจัยจาก OpenSourceMalware ยืนยันว่านี่เป็นครั้งแรกที่มีการตรวจพบการใช้เฟรมเวิร์กของ TeamPCP ในโลกจริง

ภายในวันที่ 8 มิถุนายน SANS Internet Storm Center รายงานว่ากลุ่มผู้โจมตีจำนวนมากกำลังใช้เฟรมเวิร์ก Mini Shai-Hulud ที่เป็นโอเพนซอร์สนี้อย่างแข็งขัน โดยมีผู้ไม่หวังดีอิสระหลายรายเปิดฉากการโจมตีของตัวเอง มัลแวร์ยังแพร่กระจายข้ามระบบนิเวศ เมื่อนักวิจัยพบสายพันธุ์ที่เขียนด้วยภาษา Ruby ซึ่งดูเหมือนจะถูกแปลด้วยโมเดลภาษาขนาดใหญ่ (LLM) ความเร็วในการปรับตัวนี้ตอกย้ำถึงการเปลี่ยนแปลงครั้งใหญ่ของสนามรบด้านความปลอดภัยทางไซเบอร์

การตอบสนองต่อวิกฤต: ความเร็ว การหยุดชะงัก และนโยบายใหม่

การรับมือกับ Miasma ถือว่ารวดเร็วและเปิดเผยอย่างผิดปกติ สะท้อนถึงขนาดของภัยคุกคามและการมีส่วนร่วมของเจ้าของแพลตฟอร์มรายใหญ่

GitHub ตอบสนองทันที โดยระงับการเข้าถึง repositories ของ Microsoft กว่า 70 แห่ง ภายในเวลาประมาณ 105 นาที หลังจากตรวจพบความผิดปกติในวันที่ 5 มิถุนายน 2026 ต่อมาทุก repositories ได้รับการกู้คืนและประกาศว่าปลอดภัยดีแล้ว

Microsoft เผยแพร่บทวิเคราะห์ทางเทคนิคโดยละเอียดผ่านทีม Threat Intelligence ในวันที่ 2 มิถุนายน 2026 โดยครอบคลุมห่วงโซ่การโจมตีทั้งหมด และยังใช้มาตรการขั้นเด็ดขาดด้วยการลบ repositories ของตัวเอง 73 แห่ง โดยให้เหตุผลกับ BleepingComputer ว่ากังวลว่า repos เหล่านั้นกำลังแพร่ "เนื้อหาที่อาจเป็นอันตราย" การหยุดชะงักของ CI/CD workflows ภายในองค์กรของ Microsoft ครั้งนี้แสดงให้เห็นว่าแม้แต่เจ้าของแพลตฟอร์มก็ไม่รอดพ้นจากผลกระทบของเวิร์มในซัพพลายเชน

Red Hat ออกคำแนะนำด้านความปลอดภัย RHSB-2026-006 ในวันที่ 1 มิถุนายน 2026 ยืนยันเหตุการณ์ละเมิดข้อมูล โดยระบุว่ามีผลกระทบเฉพาะกับเครื่องมือพัฒนาภายใน ไม่ส่งผลต่อผลิตภัณฑ์ Red Hat Enterprise Linux หรือ OpenShift และได้เพิกถอนแพ็กเกจ npm ที่ได้รับผลกระทบทั้งหมด พร้อมแจ้งเตือนผู้ใช้ปลายทาง

การตอบสนองที่น่าสนใจที่สุดมาจาก ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ซึ่งยกระดับเหตุการณ์นี้เป็นวาระเชิงนโยบาย เมื่อวันที่ 4 มิถุนายน 2026 NCSC เผยแพร่บล็อกโพสต์กระตุ้นให้องค์กรต่างๆ ทบทวน dependencies โอเพนซอร์สและลดความเสี่ยงจากการโจมตีซัพพลายเชนอย่างเร่งด่วน และในวันที่ 9 มิถุนายน 2026 NCSC ได้ปล่อยอัปเดต 'Cyber Essentials Supply Chain Playbook' โดยเรียกร้องให้บริษัทในสหราชอาณาจักรกำหนดให้การรับรองมาตรฐาน Cyber Essentials เป็นข้อกำหนดมาตรฐานสำหรับซัพพลายเออร์

คำแนะนำของ NCSC มุ่งเน้นไปที่สามด้านหลัก: การมองเห็น (ตรวจสอบการอัปเดตแพ็กเกจ, ระบุ dependencies ที่ไม่คาดคิด, และจัดทำ Software Bill of Materials), การประเมิน (ประเมินแนวปฏิบัติด้านความปลอดภัยของซัพพลายเออร์) และ การลงมือทำ (ยกระดับความปลอดภัยของซัพพลายเชนให้เป็นวาระระดับบอร์ดบริหาร) การที่รัฐบาลอังกฤษต้องเข้ามาเกี่ยวข้องอย่างเป็นทางการครั้งนี้สะท้อนให้เห็นว่า ความปลอดภัยของซอฟต์แวร์โอเพนซอร์สไม่ได้เป็นเพียงแค่สุขอนามัยของนักพัฒนาแต่ละคนอีกต่อไป แต่มันคือ 'นโยบายความมั่นคงปลอดภัยทางไซเบอร์ของชาติ'

บทสรุป: ทำไม Miasma ถึงเป็นบทเรียนสำคัญของวงการ

การโจมตี Miasma ไม่ใช่การโจมตีซัพพลายเชนที่ใหญ่ที่สุดหรือซับซ้อนที่สุดในประวัติศาสตร์ แต่มันอาจเป็นการโจมตีที่ให้บทเรียนสำคัญที่สุดสำหรับอนาคตก็เป็นได้

หนึ่ง, เครื่องมือโอเพนซอร์สกลายเป็นอาวุธของทุกคน. การตัดสินใจของ TeamPCP ที่จะเผยแพร่ Mini Shai-Hulud ภายใต้สัญญาอนุญาต MIT เป็นกลยุทธ์ที่จงใจสร้างกองทัพผู้เลียนแบบ สร้างความสับสนในการสืบสวน และบีบให้ฝ่ายป้องกันต้องรับมือกับผู้โจมตีอิสระจำนวนนับไม่ถ้วนที่ใช้คู่มือเดียวกัน

สอง, 'preinstall' hook ใน npm คือช่องโหว่เชิงระบบ. การโจมตีใช้ประโยชน์จากฟีเจอร์ที่ออกแบบมาเพื่อการสร้างสคริปต์ที่ถูกต้องตามกฎหมาย แต่ขาดการควบคุมที่เพียงพอ การที่ Phantom Gyp ใช้ binding.gyp เป็นช่องทางใหม่ยิ่งตอกย้ำว่าผู้โจมตีกำลังมองหาจุดอ่อนใหม่ๆ อยู่ตลอดเวลา ข้อจำกัดของ lifecycle scripts ในระดับ Registry จึงกลายเป็นเรื่องเร่งด่วน

สาม, ผู้ช่วย AI กลายเป็นพื้นผิวการโจมตี. Miasma เป็นหนึ่งในการโจมตีซัพพลายเชนแรกๆ ที่มุ่งเป้าไปที่ Claude Code, Cursor, Copilot และ Gemini CLI โดยใช้ไฟล์กฎที่เป็นอันตราย แค่เพียงนักพัฒนาโคลน repository และเปิดมันขึ้นมา เครื่องมือ AI ที่ออกแบบมาเพื่อช่วยเขียนโค้ดที่ดีกว่า ก็สามารถกลายเป็นเครื่องมือในการรันโค้ดอันตรายได้ทันที

สี่, CI/CD Pipelines คือเป้าหมายที่มีมูลค่าสูงสุด. ความสามารถของหนอนในการดึง OIDC tokens จาก memory ของ GitHub Actions runner และสร้างแพ็กเกจที่มีลายเซ็น SLSA provenance ที่ถูกต้อง หมายความว่ามาตรฐานการตรวจสอบที่เชื่อถือได้ที่สุดสามารถถูกหลอกได้

สุดท้าย, รัฐบาลได้ก้าวเข้ามาจัดการความปลอดภัยของซัพพลายเชนโอเพนซอร์สอย่างจริงจัง. สำหรับองค์กรที่มองว่าการตรวจสอบ dependencies เป็นเพียงการตรวจสอบครั้งเดียว (one-time audit) ไม่ใช่กระบวนการต่อเนื่อง เท่ากับว่าคุณกำลังดำเนินงานด้วยมาตรฐานความปลอดภัยแบบยุค 'ก่อน Miasma'