Qurd çox böyük gizli yüklə 42 GitHub repozitoriyasını silahlandırdı

Miasma ailəsinə aid npm qurdu əvvəlcə heç bir qurbanı olmayan zərərsiz bir test kimi görünürdü, lakin JFrog tədqiqatçılarına görə, o, gizlicə 11 sahibin 42 real GitHub repozitoriyasını silahlandırdı. Kampaniya iyul ayından etibarən hesabları ələ keçirdi və GitHub ilə avtomatlaşdırılmış skanerlərdən gizli qalmaq üçün hazırlanmış yüklərdən istifadə etdi. JFrog bildirdi ki, yüklərin ölçüsü 12,9 ilə 13,7 MB arasında idi və GitHub kod axtarışından yayınmaq üçün kifayət qədər böyük idi.

Testdən real qurbanlara

SafeDep keçən həftə 'testmetest' npm kampaniyasını aşkar etdi və oktyabrın 19-dan 25-dək eyni operatorla əlaqəli 18 paket müəyyən etdi; bu paketlərə etimadnamə oğurlayan zərərli proqram təminatı olan buraxılışlar da daxil idi. Əvvəlki npm qurdları kimi, bu zərərli proqram özünü çoxaldır, etimadnamələri oğurlayır və qurban oğurlanmış GitHub tokenini ləğv edəndə ev qovluğunu silən wiper quraşdırır. Oktyabrın 22-nə qədər SafeDep kompromisləşdirilmiş üçüncü tərəf paketləri və ya qurban tapmamışdı və bütün müşahidə olunan fəaliyyətin operatorun öz test hesablarına aid olduğunu bildirmişdi. JFrog-un bazar ertəsi hesabatı isə təhlilinin əksini sübut etdiyini və operatorun artıq tanınmış developerlərə və təşkilatlara aid real repozitoriyaları silahlandırdığını göstərdi.

Hücumlar necə işlədi

Hücumçular Claude, Gemini, Cursor və VS Code daxil olmaqla AI kodlaşdırma köməkçiləri və inkişaf alətləri üçün icra hook-ları yerləşdirdi; bunlarla yanaşı gizli CI-yayımcı yükünü deşifrə edən 12,9 ilə 13,7 MB ölçüdə polimorfik örtüklər də var idi. Ayrı olaraq, npm qurdu etimadnamələri oğurlayır, repozitoriyaları və CI konfiqurasiyalarını dəyişdirir və npm paketləri vasitəsilə yayılır. Zərərli proqram həmçinin ayrı bir yükü deşifrə etmək və işə salmaq üçün kompilyasiya olunmuş yerli əlavədən istifadə edir. İcra etməzdən əvvəl yükləyici CI runner-ləri, konteynerləri, sandbox-ları, debugger-ləri və avtomatlaşdırılmış analizin digər əlamətlərini yoxlayır; onları aşkar edəndə təhlükəsizlik skanerləri tərəfindən aşkarlanma ehtimalını azaltmaq üçün səssizcə dayanır.

İkinci build və əlaqəli kampaniyalar

Tədqiqatçılar həmçinin şifrələnmiş faylı atlayan ikinci build tapdılar. O, fork edir, ayrılır və operatorun öz GitHub hesabındakı repozitoriyadan yükləyici çəkən sərt kodlaşdırılmış əmri işlədir. CementBeetleSteeple adlı həmin hesab ümumilikdə 17 kampaniya repozitoriyasına ev sahibliyi etdi. JFrog bu hesabı Socket tərəfindən əvvəllər sənədləşdirilmiş shellpanel skaneri ilə əlaqələndirdi; həmin genişmiqyaslı kampaniya kompromisləşdirilmiş repozitoriyalarda GitHub Actions-dan sui-istifadə edərək CVE-2026-41940-dan istifadə etmiş və server etimadnamələrini oğurlamışdı.

CVE-2026-41940 cPanel və WHM-ə təsir edən autentifikasiya bypass-ıdır. CISA onu aprel ayında Known Exploited Vulnerabilities kataloquna əlavə etdi və cPanel o vaxtdan bəri düzəldilmiş versiyalar dərc etdi. JFrog bildirdi ki, C2 infrastrukturu Socket tərəfindən əvvəllər bildirilmişdi və onun tapıntıları eyni oğurlanmış sahiblərdəki artefaktlar və iş axınları vasitəsilə onları testmetest GitHub qurban klasterinə bağlayır. Tədqiqatçılar 42 silahlanmış GitHub repozitoriyası tapdılar və internet miqyasında istismara cəhd etdilər, lakin cPanel-də sonrakı hər hansı kompromisə dair təsdiq əldə etmədilər.

Mənbələr: The Register