بدافزار Miasma بسته‌های npm و GitHub Actions را در حمله زنجیره تأمین هدف قرار می‌دهد

محققان امنیت سایبری از تکامل جدید یک حمله زنجیره تأمین (supply chain attack) مرتبط با خانواده بدافزاری Mini Shai-Hulud، Miasma و Hades خبر دادند که مجموعه جدیدی از بسته‌های npm را به خطر انداخته و اکنون به اکوسیستم Go نیز گسترش یافته است. بر اساس گزارش شرکت Socket، این موج جدید شامل آلوده‌سازی بسته‌های npm مرتبط با پروژه‌های LeoPlatform و RStreams، سوءاستفاده از گردش‌کارهای GitHub Actions، و نفوذ به ماژول Go مربوط به پروژه Verana Blockchain است. در مجموع ۲۳ بسته آلوده شناسایی شده که هدف نهایی آن‌ها سرقت اعتبارنامه‌های (credentials) توسعه‌دهندگان و نگهدارندگان بسته‌ها و گسترش آلودگی در سراسر مخازن و رجیستری‌های بسته است. گمان می‌رود حساب کاربری npm توسعه‌دهنده‌ای با نام «czirker» مرتبط با LeoPlatform از طریق اعتبارنامه‌های لو رفته نقض شده و مهاجمان توانستند در بازه‌ای شش‌ثانیه‌ای نسخه‌های آلوده را منتشر کنند.

این کمپین از تاکتیک‌های متعددی از جمله اجرای کد در زمان نصب از طریق فایل binding.gyp، استقرار بدافزار جاوااسکریپت مبتنی بر Bun، سرقت اسرار GitHub Actions، و استخراج رمزنگاری‌شده اعتبارنامه‌ها بهره می‌برد. بدافزار همچنین یک گردش‌کار با نام «Run Copilot» را برای سرقت اسرار محیط CI/CD از حافظه runner مستقر می‌کند و اطلاعات را در یک مخزن عمومی GitHub بارگذاری می‌نماید. قابل توجه است که در ۲۴ ژوئن ۲۰۲۶، مهاجمان یک کامیت مخرب را به GitHub Action معروف «codfish/semantic-release-action» تزریق کردند که توکن‌های OIDC و توکن‌های دسترسی شخصی را سرقت و با رمزنگاری AES-128-GCM استخراج می‌کند. کارشناسان تأکید می‌کنند که نکته مهم این نیست که بار مخرب کاملاً جدید است، بلکه این است که Shai-Hulud با تغییر اندک شاخص‌های شناسایی، به حرکت در میان اکوسیستم‌های مختلف بسته‌های نرم‌افزاری ادامه می‌دهد.