Εμφανίστηκε στο GitHub ως ανοιχτού κώδικα το εργαλείο για επιθέσεις στην εφοδιαστική αλυσίδα Miasma

Λίγες ημέρες αφότου το worm Miasma παραβίασε 73 αποθετήρια GitHub της Microsoft ↘ 1.35% σε μία από τις πιο επιθετικές επιθέσεις στην εφοδιαστική αλυσίδα λογισμικού μέχρι σήμερα, ερευνητές ασφαλείας επισήμαναν την εμφάνιση του πηγαίου κώδικα του πλαισίου επίθεσης στο ίδιο το GitHub — μειώνοντας το εμπόδιο για μελλοντικές εκστρατείες μίμησης κατά υποδομών προγραμματιστών παγκοσμίως.

Πολλαπλά αποθετήρια με την ένδειξη εκδόσεων ανοιχτού κώδικα του εργαλείου Miasma άρχισαν να εμφανίζονται στο GitHub στις 9 Ιουνίου, σύμφωνα με αναφορές της κοινότητας, μετά από προηγούμενες δημοσιεύσεις ανοιχτού κώδικα του υποκείμενου πλαισίου Mini Shai-Hulud από την ομάδα απειλών TeamPCP τον Μάιο. Το Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) του Ηνωμένου Βασιλείου προέτρεψε ξεχωριστά τους οργανισμούς να επανεξετάσουν τις εξαρτήσεις λογισμικού τους, προειδοποιώντας ότι οι επιθέσεις στην εφοδιαστική αλυσίδα που στοχεύουν πακέτα ανοιχτού κώδικα επιταχύνονται.itpro+3

Από Worm σε Σχέδιο Όπλου

Το worm Miasma εξελίχθηκε από το Mini Shai-Hulud, ένα αρθρωτό εργαλείο TypeScript/Bun για τη συλλογή διαπιστευτηρίων, τη δηλητηρίαση της εφοδιαστικής αλυσίδας και την κρυπτογραφημένη εξαγωγή δεδομένων. Η TeamPCP δημοσίευσε για πρώτη φορά τον πηγαίο κώδικα του Shai-Hulud στις 12 Μαΐου, σύμφωνα με αναλύσεις των Datadog Security Labs και Akamai. Η ReversingLabs προειδοποίησε τότε ότι η δημόσια κυκλοφορία παρείχε «ένα σχέδιο για τους δράστες απειλών», μειώνοντας το εμπόδιο για επιθέσεις μεγάλης κλίμακας σε περιβάλλοντα προγραμματιστών.reversinglabs+2

Η δραστηριότητα μίμησης ακολούθησε σχεδόν αμέσως. Μέχρι τα μέσα Μαΐου, η OX Security εντόπισε νέους δράστες να αναπτύσσουν κλώνους του Shai-Hulud σε κακόβουλα πακέτα npm. Η παραλλαγή Miasma κλιμάκωσε στη συνέχεια την εκστρατεία, πλήττοντας τον χώρο ονομάτων npm της Red Hat την 1η Ιουνίου και παραβιάζοντας 32 πακέτα με περίπου 80.000 έως 117.000 εβδομαδιαίες λήψεις. Στις 5 Ιουνίου, το worm έφτασε στους οργανισμούς Azure GitHub της Microsoft, τοποθετώντας ωφέλιμα φορτία που ενεργοποιούνταν αυτόματα σε εργαλεία κωδικοποίησης AI, συμπεριλαμβανομένων των Claude Code, Gemini CLI και Cursor. Το GitHub απενεργοποίησε και τα 73 επηρεαζόμενα αποθετήρια μέσα σε 105 δευτερόλεπτα από την αυτοματοποιημένη ανίχνευση, και η Microsoft επιβεβαίωσε αργότερα ότι τα αποθετήρια είχαν αποκατασταθεί.thehackernews+6

Το NCSC Προειδοποιεί για Συστημικό Κίνδυνο

Η συμβουλευτική του NCSC, που δημοσιεύθηκε στις αρχές Ιουνίου, περιέγραψε άμεσες ενέργειες για τους οργανισμούς: παύση των αυτόματων ενημερώσεων εξαρτήσεων όπου υπάρχει υποψία παραβίασης, χειροκίνητος έλεγχος νέων εκδόσεων, αλλαγή εκτεθειμένων διαπιστευτηρίων, επιβολή ελέγχου ταυτότητας πολλαπλών παραγόντων σε λογαριασμούς προγραμματιστών και μητρώων, και χρήση ιδιωτικών ή έμπιστων μητρώων.ncsc+1

«Αυτές οι επιθέσεις υπογραμμίζουν την ανάγκη να επανεξεταστεί ο τρόπος με τον οποίο εισάγονται και διαχειρίζονται οι εξαρτήσεις, ως μέρος ενός κύκλου ζωής ασφαλούς ανάπτυξης», ανέφερε το NCSC.ncsc

Ανοιχτή Περίοδος για τους Επιτιθέμενους

Το SANS Internet Storm Center σημείωσε ότι μέχρι τα τέλη Μαΐου, «πολλαπλοί προμηθευτές ανέφεραν ότι ο πηγαίος κώδικας του πλαισίου Shai-Hulud είχε δημοσιευτεί στο GitHub» και «τα αντίγραφα (forks) ήδη λειτουργούσαν». Με την παραλλαγή Miasma πλέον εξίσου προσβάσιμη, οι ομάδες ασφαλείας αντιμετωπίζουν μια διευρυνόμενη επιφάνεια απειλών. Η StepSecurity έχει ήδη εντοπίσει μια περαιτέρω εξέλιξη του κακόβουλου λογισμικού, που παρακολουθείται ως Hades, η οποία προσθέτει καταστροφικές δυνατότητες διαγραφής (wiper) που ενεργοποιούνται εάν ανακληθούν τα κλεμμένα διακριτικά.isc.sans+2

Οι οργανισμοί που βασίζονται σε εξαρτήσεις ανοιχτού κώδικα λειτουργούν πλέον σε ένα περιβάλλον όπου τα επιθετικά εργαλεία εφοδιαστικής αλυσίδας είναι ελεύθερα διαθέσιμα — και έχουν αποδειχθεί αποτελεσματικά έναντι ορισμένων από τις μεγαλύτερες εταιρείες λογισμικού στον κόσμο.