คำตอบการวิจัย
ประเด็นสำคัญ หนอน Miasma มัลแวร์ลอกเลียนแบบตัวเอง โจมตี 73 repositories ของไมโครซอฟท์บน GitHub เมื่อ 5 มิถุนายน 2026 โดยอาศัยเครื่องมือ AI อย่าง Claude Code และ VS Code เป็นตัวจุดชนวนขโมย Credential และ GitHub สั่งปิด repos เหล่าน... ห่วงโซ่การโจมตีเริ่มต้นจากแพ็กเกจ npm ของ Red Hat ที่ถูกฝังประตูลับเมื่อ 1 มิถุนายน แสดงให้เห็นถึงการโจมตีซัพพลายเชนหลายขั้นที่ซับซ้อน ซึ่งเชื่อมโยงกับเฟรมเวิร์ก Mini Shai Hulud ที่ถูกปล่อยให้เป็นโอเพนซอร์ส ทำให้ยากต่... การตอบสนองต่อเหตุการณ์รวมถึงการปิด repositories ทันทีและการกู้คืนทั้งหมดเสร็จสิ้นภายใน 8 มิถุนายน นำไปสู่การเปลี่ยนแปลงมุมมองด้านความปลอดภัยครั้งใหญ่ที่ถือว่า 'การเปิด repository ในเครื่องมือ AI' คือพรมแดนความปลอดภัยท... What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating Mia An artistic representation of the Miasma worm infiltrating Microsoft's GitHub ecosystem through AI coding tools. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating Mia. Article summary: Here is a comprehensive breakdown of the Miasma malware attack on Microsoft's GitHub repositories.. Topic tags: general, general web, user generated, education. Reference image context from search candidates: Reference image 1: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers described as a supply chain attack aimed at developer w" source context "Supply Chain Attack Hits Microsoft GitHub Repos, AI Coding Tools" Reference image 2: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers d
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "หนอน Miasma: มัลแวร์ลอกเลียนแบบตัวเอง เปลี่ยนเครื่องมือ AI โค้ดดิ้ง เป็นอาวุธโจมตี GitHub ของไมโครซอฟท์" คืออะไร หนอน Miasma มัลแวร์ลอกเลียนแบบตัวเอง โจมตี 73 repositories ของไมโครซอฟท์บน GitHub เมื่อ 5 มิถุนายน 2026 โดยอาศัยเครื่องมือ AI อย่าง Claude Code และ VS Code เป็นตัวจุดชนวนขโมย Credential และ GitHub สั่งปิด repos เหล่าน...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? หนอน Miasma มัลแวร์ลอกเลียนแบบตัวเอง โจมตี 73 repositories ของไมโครซอฟท์บน GitHub เมื่อ 5 มิถุนายน 2026 โดยอาศัยเครื่องมือ AI อย่าง Claude Code และ VS Code เป็นตัวจุดชนวนขโมย Credential และ GitHub สั่งปิด repos เหล่าน... ห่วงโซ่การโจมตีเริ่มต้นจากแพ็กเกจ npm ของ Red Hat ที่ถูกฝังประตูลับเมื่อ 1 มิถุนายน แสดงให้เห็นถึงการโจมตีซัพพลายเชนหลายขั้นที่ซับซ้อน ซึ่งเชื่อมโยงกับเฟรมเวิร์ก Mini Shai Hulud ที่ถูกปล่อยให้เป็นโอเพนซอร์ส ทำให้ยากต่...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? การตอบสนองต่อเหตุการณ์รวมถึงการปิด repositories ทันทีและการกู้คืนทั้งหมดเสร็จสิ้นภายใน 8 มิถุนายน นำไปสู่การเปลี่ยนแปลงมุมมองด้านความปลอดภัยครั้งใหญ่ที่ถือว่า 'การเปิด repository ในเครื่องมือ AI' คือพรมแดนความปลอดภัยท...
คำตอบการวิจัย
ประเด็นสำคัญ หนอน Miasma มัลแวร์ลอกเลียนแบบตัวเอง โจมตี 73 repositories ของไมโครซอฟท์บน GitHub เมื่อ 5 มิถุนายน 2026 โดยอาศัยเครื่องมือ AI อย่าง Claude Code และ VS Code เป็นตัวจุดชนวนขโมย Credential และ GitHub สั่งปิด repos เหล่าน... ห่วงโซ่การโจมตีเริ่มต้นจากแพ็กเกจ npm ของ Red Hat ที่ถูกฝังประตูลับเมื่อ 1 มิถุนายน แสดงให้เห็นถึงการโจมตีซัพพลายเชนหลายขั้นที่ซับซ้อน ซึ่งเชื่อมโยงกับเฟรมเวิร์ก Mini Shai Hulud ที่ถูกปล่อยให้เป็นโอเพนซอร์ส ทำให้ยากต่... การตอบสนองต่อเหตุการณ์รวมถึงการปิด repositories ทันทีและการกู้คืนทั้งหมดเสร็จสิ้นภายใน 8 มิถุนายน นำไปสู่การเปลี่ยนแปลงมุมมองด้านความปลอดภัยครั้งใหญ่ที่ถือว่า 'การเปิด repository ในเครื่องมือ AI' คือพรมแดนความปลอดภัยท... What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating Mia An artistic representation of the Miasma worm infiltrating Microsoft's GitHub ecosystem through AI coding tools. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What was the Miasma malware attack on Microsoft's GitHub repositories, including how the attack occurred on June 5 when self-replicating Mia. Article summary: Here is a comprehensive breakdown of the Miasma malware attack on Microsoft's GitHub repositories.. Topic tags: general, general web, user generated, education. Reference image context from search candidates: Reference image 1: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers described as a supply chain attack aimed at developer w" source context "Supply Chain Attack Hits Microsoft GitHub Repos, AI Coding Tools" Reference image 2: visual subject "GitHub disabled 73 Microsoft repositories on June 5 after a malicious commit landed in an Azure project, in what researchers d
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "หนอน Miasma: มัลแวร์ลอกเลียนแบบตัวเอง เปลี่ยนเครื่องมือ AI โค้ดดิ้ง เป็นอาวุธโจมตี GitHub ของไมโครซอฟท์" คืออะไร หนอน Miasma มัลแวร์ลอกเลียนแบบตัวเอง โจมตี 73 repositories ของไมโครซอฟท์บน GitHub เมื่อ 5 มิถุนายน 2026 โดยอาศัยเครื่องมือ AI อย่าง Claude Code และ VS Code เป็นตัวจุดชนวนขโมย Credential และ GitHub สั่งปิด repos เหล่าน...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? หนอน Miasma มัลแวร์ลอกเลียนแบบตัวเอง โจมตี 73 repositories ของไมโครซอฟท์บน GitHub เมื่อ 5 มิถุนายน 2026 โดยอาศัยเครื่องมือ AI อย่าง Claude Code และ VS Code เป็นตัวจุดชนวนขโมย Credential และ GitHub สั่งปิด repos เหล่าน... ห่วงโซ่การโจมตีเริ่มต้นจากแพ็กเกจ npm ของ Red Hat ที่ถูกฝังประตูลับเมื่อ 1 มิถุนายน แสดงให้เห็นถึงการโจมตีซัพพลายเชนหลายขั้นที่ซับซ้อน ซึ่งเชื่อมโยงกับเฟรมเวิร์ก Mini Shai Hulud ที่ถูกปล่อยให้เป็นโอเพนซอร์ส ทำให้ยากต่...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? การตอบสนองต่อเหตุการณ์รวมถึงการปิด repositories ทันทีและการกู้คืนทั้งหมดเสร็จสิ้นภายใน 8 มิถุนายน นำไปสู่การเปลี่ยนแปลงมุมมองด้านความปลอดภัยครั้งใหญ่ที่ถือว่า 'การเปิด repository ในเครื่องมือ AI' คือพรมแดนความปลอดภัยท...
จุดเริ่มต้นของการโจมตี: เมื่อเครื่องมือ AI กลายเป็นตัวจุดชนวน ความแปลกใหม่ของการโจมตีครั้งนี้อยู่ที่เส้นทางการโจมตี ซึ่งหลบเลี่ยงการตรวจสอบความปลอดภัยแบบดั้งเดิม โดยเปลี่ยนเครื่องมือของนักพัฒนาให้เป็นเวกเตอร์การโจมตี
ประตูบานแรก: การบุกรุกเริ่มต้นจากการ Commit คำสั่งอันตรายไปยัง repository Azure/durabletask โดยใช้บัญชีผู้มีส่วนร่วม (Contributor) ที่ถูกบุกรุกมาก่อนหน้านี้ การปล่อย Payload ผ่านผู้ช่วย AI: Commit นี้ไม่ได้เปลี่ยนแปลงซอร์สโค้ดแบบเดิม แต่มันกลับแทรกไฟล์ปรับแต่งการทำงาน (Configuration Files) เช่น ไฟล์ตั้งค่าสำหรับ Claude Code, Gemini CLI, และ Cursor เข้าไปแทน Claude Code, Gemini CLI, Cursor, หรือ Visual Studio Code (VS Code) เครื่องมือ AI เหล่านี้จะอ่านไฟล์ปรับแต่งดังกล่าวโดยอัตโนมัติ และทำการรันโค้ดขโมยข้อมูลสำคัญที่ซ่อนอยู่ สิ่งที่ถูกขโมยไป: เมื่อถูกกระตุ้น หนอนจะเก็บเกี่ยวข้อมูลประจำตัวที่สำคัญจำนวนมากจากเครื่องของนักพัฒนาและสภาพแวดล้อมที่เกี่ยวข้อง ซึ่งรวมถึง Credential สำหรับ AWS, GCP, Azure, HashiCorp Vault, Kubernetes, และ GitHub Actions การลอกเลียนแบบตัวเอง: หลังจากขโมย Credential แล้ว หนอนจะใช้ข้อมูลเหล่านั้นเพื่อ Push Commit อันตรายแบบเดียวกันนี้ไปยัง Repository อื่นๆ ที่เหยื่อมีสิทธิ์เข้าถึง ทำให้มันสามารถแพร่กระจายไปยังองค์กรต่างๆ ได้อย่างรวดเร็ว
ต้นตอ: การบุกรุกแพ็กเกจ npm ของ Red Hat เหตุการณ์บน GitHub ของไมโครซอฟท์นี้คือบทสุดท้ายของแคมเปญที่เริ่มต้นขึ้นก่อนหน้านั้นหลายวันในห่วงโซ่อุปทานของซอฟต์แวร์โอเพนซอร์ส
การตอบสนองและการควบคุมสถานการณ์ การตอบสนองต่อการโจมตีครั้งนี้รวดเร็วและเด็ดขาด แต่ผลกระทบของเหตุการณ์นั้นลึกซึ้ง
การปิดใช้งานทันที: ระบบตรวจจับการละเมิดอัตโนมัติของ GitHub ได้ปิดใช้งาน Repository ที่ติดเชื้อทั้ง 73 แห่งในสองระลอก และบล็อกการเข้าถึงจากสาธารณะทันที โดยแสดงข้อความ "ละเมิดข้อกำหนดในการให้บริการ" (Terms of Service Violation) การกู้คืนและการแก้ไข: ไมโครซอฟท์ทำการกู้คืน Repository ที่ได้รับผลกระทบทั้งหมดเสร็จสิ้นภายในวันที่ 8 มิถุนายน และแจ้งเตือนลูกค้าที่ได้รับผลกระทบ GitHub Actions Secrets ที่ไม่เคยเปลี่ยน กลับมาใช้ซ้ำเพื่อรักษาและขยายขอบเขตการเข้าถึง ซึ่งบ่งชี้ว่าการบุกรุกครั้งก่อนหน้านี้ยังทำความสะอาดไม่หมด รากของปัญหาที่ลึกกว่า: การสืบสวนพบว่า Credential ที่ถูกขโมยและนำมาใช้ในวันที่ 5 มิถุนายนนั้น ถูกทิ้งอยู่ใน Log ของ Stealer นานถึง 48 วัน ก่อนจะถูกนำมาใช้เป็นอาวุธ ซึ่งตอกย้ำถึงการแทรกซึมเป็นเวลานานที่เกิดขึ้นก่อนที่หนอนจะถูกเปิดใช้งาน
การระบุตัวตนผู้โจมตี: มรดกของ Shai-Hulud และปัญหาผู้ลอกเลียนแบบ
คำแนะนำด้านความปลอดภัยสำหรับนักพัฒนา การโจมตีของ Miasma ได้เปลี่ยนแปลงขอบเขตด้านความปลอดภัยไปอย่างสิ้นเชิง การเปิดดู Code Repository ไม่ใช่การกระทำที่ปลอดภัยและไม่มีผลกระทบอีกต่อไป นักวิจัยได้เสนอคำแนะนำสำคัญหลายประการ ดังนี้
เพิกถอนและเปลี่ยนทุกอย่าง: เปลี่ยน GitHub Actions Token, Credential ของผู้ให้บริการคลาวด์, npm Publish Token และ Secret อื่นๆ ทั้งหมดทันที ที่อาจถูกเปิดเผยผ่าน CI/CD Logs, Repository ที่ติดเชื้อ, หรือ Stealer Logs บังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) อย่างเคร่งครัด: ต้องมีการยืนยันตัวตนหลายปัจจัย โดยควรใช้ Hardware Security Keys สำหรับบัญชีผู้มีส่วนร่วมทั้งหมด เพื่อป้องกันการบุกรุกผ่าน Credential กำหนดขอบเขตความน่าเชื่อถือของเครื่องมือ AI: ปฏิบัติต่อ Repository ที่ไม่น่าไว้วางใจเหมือนกับไฟล์โปรแกรมที่ไม่รู้จัก ตั้งค่า AI Coding Agents (Claude Code, Cursor, Gemini CLI, VS Code) ไม่ให้ทำงานหรืออ่านไฟล์ตั้งค่าและ Task ต่างๆ จาก Repository โดยอัตโนมัติ ทำให้ CI/CD Pipelines แข็งแกร่งขึ้น: ตรวจสอบ GitHub Actions Workflows เพื่อจำกัดสิทธิ์การเขียนของ Actions Token, ลบ Token ที่ไม่ได้ใช้, และบังคับใช้ Credential อายุสั้น เสริมสร้างสุขอนามัยของซัพพลายเชน: ใช้เครื่องมือสแกน Dependency, สร้าง SBOM (Software Bill of Materials), และตรวจสอบแหล่งที่มาของแพ็กเกจก่อนการติดตั้ง ตรวจสอบแพ็กเกจว่าไม่มี Preinstall หรือ Postinstall Scripts ที่ถูกซ่อนหรือทำซับซ้อน
จุดเริ่มต้นของการโจมตี: เมื่อเครื่องมือ AI กลายเป็นตัวจุดชนวน ความแปลกใหม่ของการโจมตีครั้งนี้อยู่ที่เส้นทางการโจมตี ซึ่งหลบเลี่ยงการตรวจสอบความปลอดภัยแบบดั้งเดิม โดยเปลี่ยนเครื่องมือของนักพัฒนาให้เป็นเวกเตอร์การโจมตี
ประตูบานแรก: การบุกรุกเริ่มต้นจากการ Commit คำสั่งอันตรายไปยัง repository Azure/durabletask โดยใช้บัญชีผู้มีส่วนร่วม (Contributor) ที่ถูกบุกรุกมาก่อนหน้านี้ การปล่อย Payload ผ่านผู้ช่วย AI: Commit นี้ไม่ได้เปลี่ยนแปลงซอร์สโค้ดแบบเดิม แต่มันกลับแทรกไฟล์ปรับแต่งการทำงาน (Configuration Files) เช่น ไฟล์ตั้งค่าสำหรับ Claude Code, Gemini CLI, และ Cursor เข้าไปแทน Claude Code, Gemini CLI, Cursor, หรือ Visual Studio Code (VS Code) เครื่องมือ AI เหล่านี้จะอ่านไฟล์ปรับแต่งดังกล่าวโดยอัตโนมัติ และทำการรันโค้ดขโมยข้อมูลสำคัญที่ซ่อนอยู่ สิ่งที่ถูกขโมยไป: เมื่อถูกกระตุ้น หนอนจะเก็บเกี่ยวข้อมูลประจำตัวที่สำคัญจำนวนมากจากเครื่องของนักพัฒนาและสภาพแวดล้อมที่เกี่ยวข้อง ซึ่งรวมถึง Credential สำหรับ AWS, GCP, Azure, HashiCorp Vault, Kubernetes, และ GitHub Actions การลอกเลียนแบบตัวเอง: หลังจากขโมย Credential แล้ว หนอนจะใช้ข้อมูลเหล่านั้นเพื่อ Push Commit อันตรายแบบเดียวกันนี้ไปยัง Repository อื่นๆ ที่เหยื่อมีสิทธิ์เข้าถึง ทำให้มันสามารถแพร่กระจายไปยังองค์กรต่างๆ ได้อย่างรวดเร็ว
ต้นตอ: การบุกรุกแพ็กเกจ npm ของ Red Hat เหตุการณ์บน GitHub ของไมโครซอฟท์นี้คือบทสุดท้ายของแคมเปญที่เริ่มต้นขึ้นก่อนหน้านั้นหลายวันในห่วงโซ่อุปทานของซอฟต์แวร์โอเพนซอร์ส
การตอบสนองและการควบคุมสถานการณ์ การตอบสนองต่อการโจมตีครั้งนี้รวดเร็วและเด็ดขาด แต่ผลกระทบของเหตุการณ์นั้นลึกซึ้ง
การปิดใช้งานทันที: ระบบตรวจจับการละเมิดอัตโนมัติของ GitHub ได้ปิดใช้งาน Repository ที่ติดเชื้อทั้ง 73 แห่งในสองระลอก และบล็อกการเข้าถึงจากสาธารณะทันที โดยแสดงข้อความ "ละเมิดข้อกำหนดในการให้บริการ" (Terms of Service Violation) การกู้คืนและการแก้ไข: ไมโครซอฟท์ทำการกู้คืน Repository ที่ได้รับผลกระทบทั้งหมดเสร็จสิ้นภายในวันที่ 8 มิถุนายน และแจ้งเตือนลูกค้าที่ได้รับผลกระทบ GitHub Actions Secrets ที่ไม่เคยเปลี่ยน กลับมาใช้ซ้ำเพื่อรักษาและขยายขอบเขตการเข้าถึง ซึ่งบ่งชี้ว่าการบุกรุกครั้งก่อนหน้านี้ยังทำความสะอาดไม่หมด รากของปัญหาที่ลึกกว่า: การสืบสวนพบว่า Credential ที่ถูกขโมยและนำมาใช้ในวันที่ 5 มิถุนายนนั้น ถูกทิ้งอยู่ใน Log ของ Stealer นานถึง 48 วัน ก่อนจะถูกนำมาใช้เป็นอาวุธ ซึ่งตอกย้ำถึงการแทรกซึมเป็นเวลานานที่เกิดขึ้นก่อนที่หนอนจะถูกเปิดใช้งาน
การระบุตัวตนผู้โจมตี: มรดกของ Shai-Hulud และปัญหาผู้ลอกเลียนแบบ
คำแนะนำด้านความปลอดภัยสำหรับนักพัฒนา การโจมตีของ Miasma ได้เปลี่ยนแปลงขอบเขตด้านความปลอดภัยไปอย่างสิ้นเชิง การเปิดดู Code Repository ไม่ใช่การกระทำที่ปลอดภัยและไม่มีผลกระทบอีกต่อไป นักวิจัยได้เสนอคำแนะนำสำคัญหลายประการ ดังนี้
เพิกถอนและเปลี่ยนทุกอย่าง: เปลี่ยน GitHub Actions Token, Credential ของผู้ให้บริการคลาวด์, npm Publish Token และ Secret อื่นๆ ทั้งหมดทันที ที่อาจถูกเปิดเผยผ่าน CI/CD Logs, Repository ที่ติดเชื้อ, หรือ Stealer Logs บังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) อย่างเคร่งครัด: ต้องมีการยืนยันตัวตนหลายปัจจัย โดยควรใช้ Hardware Security Keys สำหรับบัญชีผู้มีส่วนร่วมทั้งหมด เพื่อป้องกันการบุกรุกผ่าน Credential กำหนดขอบเขตความน่าเชื่อถือของเครื่องมือ AI: ปฏิบัติต่อ Repository ที่ไม่น่าไว้วางใจเหมือนกับไฟล์โปรแกรมที่ไม่รู้จัก ตั้งค่า AI Coding Agents (Claude Code, Cursor, Gemini CLI, VS Code) ไม่ให้ทำงานหรืออ่านไฟล์ตั้งค่าและ Task ต่างๆ จาก Repository โดยอัตโนมัติ ทำให้ CI/CD Pipelines แข็งแกร่งขึ้น: ตรวจสอบ GitHub Actions Workflows เพื่อจำกัดสิทธิ์การเขียนของ Actions Token, ลบ Token ที่ไม่ได้ใช้, และบังคับใช้ Credential อายุสั้น เสริมสร้างสุขอนามัยของซัพพลายเชน: ใช้เครื่องมือสแกน Dependency, สร้าง SBOM (Software Bill of Materials), และตรวจสอบแหล่งที่มาของแพ็กเกจก่อนการติดตั้ง ตรวจสอบแพ็กเกจว่าไม่มี Preinstall หรือ Postinstall Scripts ที่ถูกซ่อนหรือทำซับซ้อน 
stepsecurity.ioMiasma Worm Hits Microsoft Again: Azure Functions Action ...
opensourcemalware.comThe Blight Reaches Microsoft: 73 Repos Disabled in 105 ...
thehackernews.comMiasma Worm Hits 73 Microsoft GitHub Repositories in Major ...
threatlocker.comMiasma worm targets Microsoft, compromises 73 GitHub repositories
