תולעת חימשה 42 מאגרי GitHub בעזרת מטען גדול מדי כדי להיכשל

תולעת npm ממשפחת Miasma, שנחשבה תחילה לבדיקה בלבד ללא קורבנות, חימשה בחשאי 42 מאגרי GitHub אמיתיים השייכים ל-11 בעלים, לפי חוקרי JFrog. הקמפיין חטף חשבונות כבר ביולי והשתמש במטענים חמקניים שנבנו כדי להישאר נסתרים מ-GitHub ומסורקים אוטומטיים. לדברי JFrog, גושי המטען היו בגודל 12.9 עד 13.7 MB, גדולים מספיק כדי להתחמק מחיפוש הקוד של GitHub.

מבדיקה לקורבנות אמיתיים

SafeDep איתרה לראשונה את קמפיין ה-npm בשם 'testmetest' בשבוע שעבר וזיהתה 18 חבילות המקושרות לאותו מפעיל בין 19 ל-25 באוקטובר, ובהן גרסאות שהכילו נוזקה לגניבת אישורים. כמו בתולעי npm קודמים, הנוזקה משכפלת את עצמה, גונבת אישורים ומתקינה מנגנון מחיקה שמוחק את ספריית הבית כאשר הקורבן מבטל את טוקן ה-GitHub הגנוב. נכון ל-22 באוקטובר, SafeDep לא מצאה חבילות צד שלישי שנפגעו ולא קורבנות, ואמרה שכל הפעילות שנצפתה שייכת לחשבונות הבדיקה של המפעיל עצמו. דוח JFrog מיום שני אמר שהניתוח שלו הוכיח אחרת, ומצא שהמפעיל כבר חימש מאגרים אמיתיים השייכים למפתחים ולארגונים מבוססים.

כיצד פעלו ההתקפות

התוקפים שתלו ווי הרצה עבור עוזרי קידוד מבוססי AI וכלי פיתוח, ובהם Claude, Gemini, Cursor ו-VS Code, לצד עטיפות פולימורפיות בגודל 12.9 עד 13.7 MB שמפענחות מטען נסתר של מפרסם CI. בנפרד, תולעת ה-npm גונבת אישורים, משנה מאגרים ותצורות CI ומתפשטת דרך חבילות npm. הנוזקה משתמשת גם בתוסף נייטיב מהודר כדי לפענח ולהפעיל מטען נפרד. לפני ההרצה בודק הטוען אחר רצים של CI, מכולות, ארגזי חול, דיבגרים וסימנים אחרים לניתוח אוטומטי, ויוצא בשקט כשהוא מזהה אותם, כדי לצמצם את הסיכוי לזיהוי בידי סורקי אבטחה.

בנייה שנייה וקמפיינים מקושרים

החוקרים מצאו גם בנייה שנייה שמדלגת על הקובץ המוצפן. היא יוצרת תהליך צאצא, מתנתקת ומריצה פקודה מקודדת קשיח שמושכת טוען ממאגר בחשבון ה-GitHub של המפעיל עצמו. החשבון הזה, CementBeetleSteeple, אירח 17 מאגרי קמפיין בסך הכול. JFrog קישרה את החשבון הזה לסורק shellpanel שתועד בעבר בידי Socket בקמפיין רחב היקף שניצל לרעה את GitHub Actions במאגרים שנפרצו כדי לנצל את CVE-2026-41940 ולגנוב אישורי שרת.

CVE-2026-41940 הוא עקיפת אימות הפוגעת ב-cPanel וב-WHM. CISA הוסיפה אותו לקטלוג הפגיעויות המנוצלות הידועות שלה באפריל, ומאז פרסמה cPanel גרסאות מתוקנות. לדברי JFrog, תשתית ה-C2 דווחה בעבר בידי Socket, והממצאים שלה מקשרים אותה לצביר הקורבנות testmetest ב-GitHub באמצעות ארטיפקטים ותהליכי עבודה אצל אותם בעלים שנחטפו. החוקרים מצאו 42 מאגרי GitHub חמושים וניסיון ניצול בקנה מידה עולמי, אך לא אישרו שום פגיעה ב-cPanel בהמשך השרשרת.

מקורות: The Register