Miasma Worm
کمپین حمله زنجیره تأمین خودتکثیرشونده Miasma که همچنان ادامه دارد، فراتر از رجیستریهای بسته گسترش یافته و اکنون مستقیماً مخازن GitHub را تحت تأثیر قرار میدهد. طبق یافتههای OpenSourceMalware، این حادثه ۷۳ مخزن را در چهار سازمان Microsoft GitHub تحت تأثیر قرار داده است: Azure، Azure-Samples، Microsoft و MicrosoftDocs. در نتیجه، GitHub به دلیل نقض شرایط خدمات خود، دسترسی به مخازن آسیبدیده را محدود کرد.
کاربرانی که سعی در دسترسی به پروژههای آسیبدیده، از جمله مخزن Azure Functions Host دارند، با اخطاری مواجه میشوند که نشان میدهد کارکنان GitHub دسترسی را غیرفعال کردهاند و صاحبان مخزن باید برای اطلاعات بیشتر با پشتیبانی GitHub تماس بگیرند.
از جمله مخازنی که تحت تأثیر این کمپین قرار گرفتهاند عبارتند از:
امنیت داده-جستجوی-اپنای-دمو-پورویو-آژور
کانکتورهای NET-LSP
کانکتورهای NET-SDK
وظیفه بادوام،
durabletask-dotnet،
durabletask-go،
durabletask-js،
durabletask-mssql
توابع-کانتینر-عمل،
توابع خانگی،
تنظیم دقیق llm،
اسناد درایور ویندوز
فهرست مطالب
اکوسیستم وظایف بادوام، دومین بار با مشکل مواجه میشود
یکی از مهمترین جنبههای آخرین فعالیت، ظاهراً نفوذ مجدد به اکوسیستم «durabletask» است. بستهی PyPI مربوط به durabletask قبلاً در ماه مه ۲۰۲۶ توسط TeamPCP آلوده شده و برای توزیع یک بدافزار سرقت اطلاعات که سیستمهای لینوکس را هدف قرار میداد، مورد استفاده قرار گرفته بود.
یک ماه بعد، به نظر میرسد که تأثیر این حمله بسیار گستردهتر شده است. نه تنها مخزن اصلی Azure/durabletask ناپدید شده است، بلکه مخازن مرتبط در سراسر اکوسیستم مایکروسافت نیز تحت تأثیر قرار گرفتهاند. پروژههای آسیبدیده شامل پیادهسازیهایی برای .NET، Go، Java، JavaScript، MSSQL، Netherite، protobuf و اجزای مانیتورینگ Durable Functions هستند.
محققان امنیتی معتقدند که بعید است ارتباط بین نفوذ اولیه و حذف فعلی تصادفی باشد. تکرار این اتفاق نشان میدهد که اعتبارنامههای به خطر افتاده در طول حادثه قبلی ممکن است هرگز به طور کامل ایمن نشده باشند و به مهاجمان اجازه دهند تا دسترسی خود را دوباره به دست آورند یا حفظ کنند.
میاسما از کرم کوچک شای-هولود تکامل مییابد
محققان Miasma را به عنوان گونهای از کرم Mini Shai-Hulud ارزیابی میکنند که TeamPCP در اواسط ماه مه 2026 به طور عمومی منتشر کرد. از آن زمان، این بدافزار به طور مداوم تکامل یافته و تکنیکهای انتشار خود را اصلاح کرده و در عین حال بستهها و مخازن اضافی را آلوده میکند.
این کمپین هنگام ایجاد مخازن عمومی که اسرار دزدیده شده را افشا میکنند، از چندین توصیف مخزن استفاده کرده است، از جمله «Miasma: The Spreading Blight»، «Miasma: The Spreading Blight»، «Miasma - The Spreading Blight» و «Hades - The End for the Damned». مشاهدات فعلی نشان میدهد که ۱۳ مخزن دارای توصیف «Hades» و ۸۲ مخزن از یکی از گونههای نامگذاری مرتبط با Miasma استفاده میکنند.
آلودگیهای مستقیم مخزن، نشاندهندهی یک استراتژی حملهی جدید هستند
در یک تغییر تاکتیک قابل توجه، مشاهده شده است که Miasma به طور کامل رجیستری npm را دور میزند. به جای مسموم کردن بستهها از طریق کانالهای توزیع سنتی، عاملان تهدید مستقیماً مخزن GitHub 'icflorescu/mantine-datatable' را به همراه چهار پروژه مرتبط تغییر دادهاند: mantine-contextmenu، next-server-actions-parallel، mantine-datatable-v6 و mantine-contextmenu-v6.
این کامیت مخرب هیچ وابستگی اضافی ایجاد نکرد و همین امر تشخیص را دشوارتر کرد. در عوض، مهاجمان یک اجراکنندهی پیلود ۴.۳ مگابایتی را جاسازی کردند که به گونهای پیکربندی شده بود که به طور خودکار از طریق پنج ابزار توسعهدهندهی پرکاربرد اجرا شود: Claude Code، Gemini CLI، Cursor، Visual Studio Code و اسکریپت تست npm. این آلودگی زمانی فعال میشود که توسعهدهندگان یک مخزن آسیبدیده را کلون کرده و آن را در یک محیط کدنویسی با کمک هوش مصنوعی باز کنند. محققان این پیلود را به عنوان همان بارگذار Bun مرحلهبندیشدهای که قبلاً در حملات متمرکز بر رجیستری استفاده میشد، شناسایی کردند، اما برای ماندگاری طولانیمدت در مخازن منبع تطبیق داده شده بود.
سوءاستفاده از اعتماد به جای آسیبپذیریها
کمپین میاسما نقاط ضعف اساسی در مدل اعتماد زیربنای توزیع نرمافزار متنباز مدرن را برجسته میکند. برخلاف بسیاری از حملات زنجیره تأمین که به سوءاستفاده از نقصهای نرمافزاری متکی هستند، این عملیات با سوءاستفاده از سازوکارهای قانونی توسعه و انتشار، موفق میشود.
توانایی آن در گسترش بازگشتی از طریق کاربران پاییندست و آلوده کردن مکرر اهداف جدید، آن را به یکی از مهمترین و پایدارترین تهدیدات زنجیره تأمین نرمافزار مشاهدهشده تا به امروز تبدیل کرده است. اثربخشی این کمپین ناشی از ظرفیت آن در انتشار تصاعدی در سراسر اکوسیستم است که کاربران آلوده را به بردارهای جدید آلوده تبدیل میکند.
روش Shai-Hulud آسیبپذیریهای موجود در پلتفرمهایی مانند npm یا GitHub را هدف قرار نمیدهد. در عوض، این فرض اصلی را که نرمافزارهای منتشر شده توسط توسعهدهندگان معتبر و امضا شده با اعتبارنامههای معتبر قابل اعتماد هستند، تضعیف میکند. با به خطر انداختن حسابهای توسعهدهندگان و کلیدهای امضای مرتبط با آنها، مهاجمان میتوانند فعالیتهای انتشار مخربی را انجام دهند که کاملاً قانونی به نظر میرسند.
از دیدگاه ثبت بستهها و پلتفرمهای مخزن، این نسخههای مخرب عملاً از بهروزرسانیهای معمول نرمافزار قابل تشخیص نیستند. این توانایی عملکرد کاملاً در چارچوب گردشهای کاری قابل اعتماد، توضیح میدهد که چرا بسیاری از کنترلهای امنیتی مرسوم در شناسایی و متوقف کردن این کمپین با مشکل مواجه بودهاند.
