Miasma tedarik zinciri saldırı araç seti GitHub’da açık kaynak olarak ortaya çıktı

Miasma solucanının, bugüne kadarki en agresif yazılım tedarik zinciri saldırılarından birinde 73 Microsoft ↗ 1.62% GitHub deposunu tehlikeye atmasından günler sonra, güvenlik araştırmacıları saldırı çerçevesinin kaynak kodunun bizzat GitHub'da ortaya çıktığına dikkat çekti — bu durum dünya genelindeki geliştirici altyapılarına yönelik gelecekteki taklitçi kampanyalar için engeli düşürüyor.

Topluluk raporlarına göre, Miasma araç setinin açık kaynaklı sürümleri olarak etiketlenen birden fazla depo, TeamPCP tehdit grubunun Mayıs ayında temel Mini Shai-Hulud çerçevesini açık kaynak olarak yayınlamasının ardından 9 Haziran'da GitHub'da görünmeye başladı. İngiltere'nin Ulusal Siber Güvenlik Merkezi (NCSC), kuruluşları yazılım bağımlılıklarını gözden geçirmeye çağırdı ve açık kaynaklı paketleri hedef alan tedarik zinciri saldırılarının hızlandığı konusunda uyardı.itpro+3

Solucandan Silah Taslağına

Miasma solucanı, kimlik bilgisi toplama, tedarik zinciri zehirleme ve şifreli veri sızdırma için modüler bir TypeScript/Bun araç seti olan Mini Shai-Hulud'dan evrildi. Datadog Security Labs ve Akamai'nin analizlerine göre, TeamPCP Shai-Hulud kaynak kodunu ilk kez 12 Mayıs'ta yayınladı. ReversingLabs o dönemde, halka açık sürümün "tehdit aktörleri için bir taslak" sağladığını ve geliştirici ortamlarına yönelik büyük ölçekli saldırıların önündeki engeli düşürdüğünü uyardı.reversinglabs+2

Taklitçi faaliyetler neredeyse hemen ardından geldi. Mayıs ortasına gelindiğinde, OX Security, kötü niyetli npm paketlerinde Shai-Hulud klonlarını dağıtan yeni aktörler tespit etti. Miasma varyantı daha sonra kampanyayı tırmandırdı, 1 Haziran'da Red Hat'in npm ad alanını vurdu ve haftalık yaklaşık 80.000 ila 117.000 indirme ile 32 paketi tehlikeye attı. 5 Haziran'da solucan, Microsoft'un Azure GitHub organizasyonlarına ulaştı ve Claude Code, Gemini CLI ve Cursor dahil olmak üzere yapay zeka kodlama araçlarında otomatik olarak tetiklenen yükler yerleştirdi. GitHub, etkilenen 73 depoyu otomatik algılamadan sonraki 105 saniye içinde devre dışı bıraktı ve Microsoft daha sonra depoların geri yüklendiğini doğruladı.thehackernews+6

NCSC Sistemik Risk Konusunda Uyarıyor

Haziran başında yayınlanan NCSC tavsiyesi, kuruluşlar için acil eylemleri özetledi: tehlike şüphesi olduğunda otomatik bağımlılık güncellemelerini duraklatmak, yeni sürümleri manuel olarak incelemek, açığa çıkan kimlik bilgilerini döndürmek, geliştirici ve kayıt defteri hesaplarında çok faktörlü kimlik doğrulamayı zorunlu kılmak ve özel veya güvenilir kayıt defterleri kullanmak.ncsc+1

NCSC, "Bu saldırılar, güvenli bir geliştirme yaşam döngüsünün bir parçası olarak bağımlılıkların nasıl tanıtıldığını ve yönetildiğini yeniden gözden geçirme ihtiyacını vurguluyor" dedi.ncsc

Saldırganlar İçin Açık Sezon

SANS Internet Storm Center, Mayıs sonuna gelindiğinde "birden fazla satıcının Shai-Hulud çerçevesi kaynak kodunun GitHub'da yayınlandığını bildirdiğini" ve "taklitçi çatalların zaten çalıştığını" belirtti. Miasma varyantının da benzer şekilde erişilebilir olmasıyla, güvenlik ekipleri genişleyen bir tehdit yüzeyiyle karşı karşıya. StepSecurity, çalınan belirteçlerin iptal edilmesi durumunda tetiklenen yıkıcı silici yetenekleri ekleyen ve Hades olarak izlenen kötü amaçlı yazılımın bir sonraki evrimini zaten tespit etti.isc.sans+2

Açık kaynaklı bağımlılıklara güvenen kuruluşlar artık saldırgan tedarik zinciri araç setlerinin serbestçe erişilebilir olduğu ve dünyanın en büyük yazılım şirketlerinden bazılarına karşı etkili olduğu kanıtlanmış bir ortamda faaliyet gösteriyor.