Verktøysett for angrep på forsyningskjeden «Miasma» dukker opp som åpen kildekode på GitHub

Dager etter at Miasma-ormen kompromitterte 73 Microsoft ↘ 0.65% GitHub-depoter i et av de mest aggressive angrepene på programvareforsyningskjeden til dags dato, har sikkerhetsforskere flagget fremkomsten av angrepsrammeverkets kildekode på selve GitHub – noe som senker barrieren for fremtidige kopikampanjer mot utviklerinfrastruktur over hele verden.

Flere depoter merket som åpen kildekode-utgivelser av Miasma-verktøysettet begynte å dukke opp på GitHub 9. juni, ifølge fellesskapsrapporter, etter tidligere åpen kildekode-slipp av det underliggende Mini Shai-Hulud-rammeverket av TeamPCP-trusselgruppen i mai. Storbritannias National Cyber Security Centre har separat oppfordret organisasjoner til å gjennomgå programvareavhengighetene sine, og advart om at angrep på forsyningskjeden rettet mot åpen kildekode-pakker akselererer.itpro+3

Fra orm til våpenblåkopier

Miasma-ormen utviklet seg fra Mini Shai-Hulud, et modulært TypeScript/Bun-verktøysett for høsting av legitimasjon, forgiftning av forsyningskjeden og kryptert eksfiltrering. TeamPCP publiserte først Shai-Hulud-kildekoden 12. mai, ifølge analyser fra Datadog Security Labs og Akamai. ReversingLabs advarte på det tidspunktet om at den offentlige utgivelsen ga «en blåkopier for trusselaktører», noe som senket barrieren for storskalaangrep på utviklermiljøer.reversinglabs+2

Kopiaktivitet fulgte nesten umiddelbart. Innen midten av mai identifiserte OX Security nye aktører som distribuerte Shai-Hulud-kloner i ondsinnede npm-pakker. Miasma-varianten eskalerte deretter kampanjen, og traff Red Hats npm-navnerom 1. juni og kompromitterte 32 pakker med omtrent 80 000 til 117 000 ukentlige nedlastinger. 5. juni nådde ormen Microsofts Azure GitHub-organisasjoner, og plantet nyttelaster som utløste automatisk i AI-kodingsverktøy, inkludert Claude Code, Gemini CLI og Cursor. GitHub deaktiverte alle 73 berørte depoter innen 105 sekunder etter automatisert deteksjon, og Microsoft bekreftet senere at depotene var gjenopprettet.thehackernews+6

NCSC advarer om systemisk risiko

NCSCs råd, publisert i begynnelsen av juni, skisserte umiddelbare tiltak for organisasjoner: pause automatiske avhengighetsoppdateringer der kompromittering mistenkes, manuelt gjennomgå nye versjoner, rotere eksponert legitimasjon, håndheve multifaktorautentisering på utvikler- og registerkontoer, og bruke private eller pålitelige registre.ncsc+1

«Disse angrepene fremhever behovet for å revurdere hvordan avhengigheter introduseres og administreres, som en del av en sikker utviklingslivssyklus,» sa NCSC.ncsc

Åpen sesong for angripere

SANS Internet Storm Center bemerket at innen slutten av mai hadde «flere leverandører rapportert at Shai-Hulud-rammeverkets kildekode var publisert på GitHub» og «kopigafler kjørte allerede». Med Miasma-varianten nå tilgjengelig på samme måte, står sikkerhetsteam overfor en voksende trusseloverflate. StepSecurity har allerede identifisert en videre utvikling av skadevaren, sporet som Hades, som legger til destruktive viskerfunksjoner som utløses hvis stjålne tokens blir tilbakekalt.isc.sans+2

Organisasjoner som er avhengige av åpen kildekode-avhengigheter opererer nå i et miljø der offensive verktøysett for forsyningskjeden er fritt tilgjengelige – og bevist effektive mot noen av verdens største programvareselskaper.