根本原因并非简单的令牌泄露，而是完整的账户接管。攻击者攻陷了一名Red Hat员工的GitHub账户，并利用该权限向上游的RedHatInsights/javascript-clients CI/CD流水线注入了恶意提交 。这使得他们得以滥用GitHub的可信发布机制，为其植入后门的包版本生成真实的SLSA来源证明，并直接推送到npm注册表 。

这些被攻陷的包包含一个preinstall脚本，在安装时自动执行，下载一个28KB的凭证窃取载荷。该恶意软件被识别为Mini Shai-Hulud家族的新变种，被称为“Miasma”，归因于威胁组织TeamPCP（但无法排除模仿者的可能性），其行为是一个自我传播的蠕虫 。

6月5日：攻击蔓延至微软Azure

从Red Hat阶段窃取的凭证在2026年6月5日被再次利用。攻击者利用此前被攻陷的贡献者账户，向Azure/durabletask仓库推送了一个恶意提交 。该仓库在5月19日就已遭受PyPI包投毒攻击，而同一位贡献者账户在两次攻击中均被使用，这凸显出初始入侵后未能完全撤销所有权限的严重问题 。

该恶意提交包含针对AI编程代理设下的配置文件陷阱。当开发者使用Claude Code、Gemini CLI、Cursor或VS Code等AI工具打开该仓库时，这些文件会被自动读取，注入执行凭证窃取载荷的命令 。

GitHub的响应是即时且史无前例的。在一次自动扫荡中，它在105秒内禁用了微软四个GitHub组织下的73个仓库 ：

• Azure（包括整个Azure Functions Action仓库）
• Azure-Samples
• Microsoft
• MicrosoftDocs

受影响的仓库显示一条灰色的通知：“此仓库已被禁用。访问此仓库已被GitHub员工禁用，原因是违反了GitHub的服务条款” 。

攻击向量：蠕虫如何运作

Miasma活动采用多管齐下的攻击策略，将经典的供应链投毒与新颖的自我传播和AI定向技术相结合。

• npm注册表投毒： 初始向量通过携带恶意preinstall脚本的后门包传播，当开发者运行npm install时立即交付载荷 。
• 蠕虫自我传播： 感染开发者机器后，28KB的载荷会收割GitHub令牌、npm令牌及其他凭据。然后自动向受害者有权限发布到的任何其他仓库提交恶意代码，无需人工干预即可传播感染 。
• 凭据收割： 该蠕虫是一种激进的窃密者， targeting AWS、Azure、GCP、Kubernetes、HashiCorp Vault、超过90种开发者工具配置、SSH密钥、环境变量、加密货币钱包以及AI工具持久化数据的凭据 。
• 绕过可信发布： 通过攻陷员工的GitHub账户，攻击者可以绕过GitHub基于OIDC的可信发布机制，使得恶意包带有有效的来源证明，看起来完全合法 。
• AI编程代理注入： 在微软攻击阶段，蠕虫在配置文件中植入了专门针对AI编程助手的恶意指令。这将开发工具变成了无意识的攻击向量，自动执行攻击者控制的工作流 。

修复与响应

多个主要科技和安全组织需要协同努力进行修复。

• 6月5日，GitHub在105秒内自动禁用73个微软仓库以遏制损害 。
• 6月1日，Red Hat发布了安全公告RHSB-2026-006，撤销了所有被攻陷的npm令牌和发布凭据，并将后门包从注册表中移除 。
• 6月2日，微软威胁情报发布了详细分析报告，分析了攻击链条，并向更广泛社区提供检测指导 。
• 研究人员强烈建议所有受影响的开发者立即轮换所有暴露的CI密钥、云凭据、SSH密钥和npm令牌，审计CI/CD流水线中是否存在未授权的提交，并监控仓库中是否存在蠕虫的特征字符串：“Miasma – The Spreading Blight” 。

更广泛的威胁：IronWorm行动与模仿者风险

Miasma攻击并非孤立事件。6月5日，Endor Labs和StepSecurity的研究人员披露了一项独立但平行的行动，代号IronWorm，该行动已攻陷了更庞大的57个npm包（超过286个恶意版本），用于分发新的Miasma蠕虫变种 。这表明威胁组织正在积极扩大其行动规模，并尝试新技术，例如滥用binding.gyp文件执行代码 。

云安全联盟(CSA)指出了一项关键的长期风险：尽管该行动被归咎于TeamPCP，但底层代码库已被公开。这意味着无法排除使用相同或修改工具的模仿者，确保Miasma攻击模式将持续构成威胁 。

根本原因并非简单的令牌泄露，而是完整的账户接管。攻击者攻陷了一名Red Hat员工的GitHub账户，并利用该权限向上游的RedHatInsights/javascript-clients CI/CD流水线注入了恶意提交 。这使得他们得以滥用GitHub的可信发布机制，为其植入后门的包版本生成真实的SLSA来源证明，并直接推送到npm注册表 。

这些被攻陷的包包含一个preinstall脚本，在安装时自动执行，下载一个28KB的凭证窃取载荷。该恶意软件被识别为Mini Shai-Hulud家族的新变种，被称为“Miasma”，归因于威胁组织TeamPCP（但无法排除模仿者的可能性），其行为是一个自我传播的蠕虫 。

6月5日：攻击蔓延至微软Azure

从Red Hat阶段窃取的凭证在2026年6月5日被再次利用。攻击者利用此前被攻陷的贡献者账户，向Azure/durabletask仓库推送了一个恶意提交 。该仓库在5月19日就已遭受PyPI包投毒攻击，而同一位贡献者账户在两次攻击中均被使用，这凸显出初始入侵后未能完全撤销所有权限的严重问题 。

该恶意提交包含针对AI编程代理设下的配置文件陷阱。当开发者使用Claude Code、Gemini CLI、Cursor或VS Code等AI工具打开该仓库时，这些文件会被自动读取，注入执行凭证窃取载荷的命令 。

GitHub的响应是即时且史无前例的。在一次自动扫荡中，它在105秒内禁用了微软四个GitHub组织下的73个仓库 ：

• Azure（包括整个Azure Functions Action仓库）
• Azure-Samples
• Microsoft
• MicrosoftDocs

受影响的仓库显示一条灰色的通知：“此仓库已被禁用。访问此仓库已被GitHub员工禁用，原因是违反了GitHub的服务条款” 。

攻击向量：蠕虫如何运作

Miasma活动采用多管齐下的攻击策略，将经典的供应链投毒与新颖的自我传播和AI定向技术相结合。

• npm注册表投毒： 初始向量通过携带恶意preinstall脚本的后门包传播，当开发者运行npm install时立即交付载荷 。
• 蠕虫自我传播： 感染开发者机器后，28KB的载荷会收割GitHub令牌、npm令牌及其他凭据。然后自动向受害者有权限发布到的任何其他仓库提交恶意代码，无需人工干预即可传播感染 。
• 凭据收割： 该蠕虫是一种激进的窃密者， targeting AWS、Azure、GCP、Kubernetes、HashiCorp Vault、超过90种开发者工具配置、SSH密钥、环境变量、加密货币钱包以及AI工具持久化数据的凭据 。
• 绕过可信发布： 通过攻陷员工的GitHub账户，攻击者可以绕过GitHub基于OIDC的可信发布机制，使得恶意包带有有效的来源证明，看起来完全合法 。
• AI编程代理注入： 在微软攻击阶段，蠕虫在配置文件中植入了专门针对AI编程助手的恶意指令。这将开发工具变成了无意识的攻击向量，自动执行攻击者控制的工作流 。

修复与响应

多个主要科技和安全组织需要协同努力进行修复。

• 6月5日，GitHub在105秒内自动禁用73个微软仓库以遏制损害 。
• 6月1日，Red Hat发布了安全公告RHSB-2026-006，撤销了所有被攻陷的npm令牌和发布凭据，并将后门包从注册表中移除 。
• 6月2日，微软威胁情报发布了详细分析报告，分析了攻击链条，并向更广泛社区提供检测指导 。
• 研究人员强烈建议所有受影响的开发者立即轮换所有暴露的CI密钥、云凭据、SSH密钥和npm令牌，审计CI/CD流水线中是否存在未授权的提交，并监控仓库中是否存在蠕虫的特征字符串：“Miasma – The Spreading Blight” 。

更广泛的威胁：IronWorm行动与模仿者风险

Miasma攻击并非孤立事件。6月5日，Endor Labs和StepSecurity的研究人员披露了一项独立但平行的行动，代号IronWorm，该行动已攻陷了更庞大的57个npm包（超过286个恶意版本），用于分发新的Miasma蠕虫变种 。这表明威胁组织正在积极扩大其行动规模，并尝试新技术，例如滥用binding.gyp文件执行代码 。

云安全联盟(CSA)指出了一项关键的长期风险：尽管该行动被归咎于TeamPCP，但底层代码库已被公开。这意味着无法排除使用相同或修改工具的模仿者，确保Miasma攻击模式将持续构成威胁 。