Որդը զինել է 42 GitHub ռեպոզիտորիա՝ թաքցնելով չափազանց մեծ օգտակար բեռ

Miasma ընտանիքի npm որդը, որը սկզբում մտածվել էր որպես առանց զոհերի փորձարկում, գաղտնի զինել է 11 սեփականատերերի 42 իրական GitHub ռեպոզիտորիա, ըստ JFrog հետազոտողների։ Արշավը հաշիվներ է զավթել դեռ հուլիսից և օգտագործել է թաքուն օգտակար բեռներ, որոնք կառուցված են GitHub-ից և ավտոմատ սկաներներից թաքնվելու համար։ JFrog-ը նշել է, որ օգտակար բեռի բլոբները չափվել են 12.9-ից 13.7 MB, բավական մեծ՝ GitHub-ի կոդի որոնումը շրջանցելու համար։

Փորձարկումից մինչև իրական զոհեր

SafeDep-ը առաջին անգամ նկատել է «testmetest» npm արշավը անցյալ շաբաթ և հոկտեմբերի 19-ից 25-ը միջակայքում նույն օպերատորին կապված 18 փաթեթ է հայտնաբերել, այդ թվում հավատարմագրեր գողացող չարագործ ծրագիր պարունակող թողարկումներ։ Ինչպես ավելի վաղ npm որդերը, չարագործ ծրագիրը ինքնաբազմացող է, գողանում է հավատարմագրեր և տեղադրում է մաքրող, որը ջնջում է տնային գրացուցակը, երբ զոհը հետ է կանչում գողացված GitHub տոկենը։ Հոկտեմբերի 22-ի դրությամբ SafeDep-ը չի գտել վտանգված երրորդ կողմի փաթեթներ կամ զոհեր և ասել է, որ բոլոր դիտարկված գործողությունները պատկանում են օպերատորի սեփական փորձարկման հաշիվներին։ JFrog-ի երկուշաբթի հաշվետվությունը նշել է, որ իր վերլուծությունը ապացուցել է հակառակը և պարզել, որ օպերատորը արդեն զինել է հաստատված մշակողների և կազմակերպությունների իրական ռեպոզիտորիաները։

Ինչպես են աշխատել հարձակումները

Հարձակվողները տեղադրել են կատարման կեռիկներ AI կոդավորման օգնականների և մշակման գործիքների համար, այդ թվում Claude, Gemini, Cursor և VS Code, ինչպես նաև 12.9-ից 13.7 MB չափվող պոլիմորֆ փաթաթաններ, որոնք վերծանում են թաքնված CI հրատարակչի օգտակար բեռը։ Առանձին, npm որդը գողանում է հավատարմագրեր, փոփոխում է ռեպոզիտորիաները և CI կազմաձևերը և տարածվում է npm փաթեթների միջոցով։ Չարագործ ծրագիրը նաև օգտագործում է կոմպիլացված բնիկ հավելված՝ առանձին օգտակար բեռը վերծանելու և գործարկելու համար։ Կատարումից առաջ բեռնիչը ստուգում է CI վազորդներ, կոնտեյներներ, ավազատուփեր, վրիպազերծիչներ և ավտոմատ վերլուծության այլ նշաններ, և դրանք հայտնաբերելիս լռությամբ դուրս է գալիս՝ նվազեցնելու անվտանգության սկաներների կողմից հայտնաբերման հավանականությունը։

Երկրորդ տարբերակ և կապված արշավներ

Հետազոտողները նաև գտել են երկրորդ տարբերակ, որը բաց է թողնում գաղտնագրված ֆայլը։ Այն ճյուղավորվում է, անջատվում և գործարկում է կոշտ կոդավորված հրաման, որը բեռնիչ է քաշում օպերատորի սեփական GitHub հաշվի ռեպոզիտորիայից։ Այդ հաշիվը՝ CementBeetleSteeple, ընդհանուր առմամբ հյուրընկալել է 17 արշավային ռեպոզիտորիա։ JFrog-ը այս հաշիվը կապել է shellpanel սկաների հետ, որը նախկինում փաստագրվել է Socket-ի կողմից խոշոր մասշտաբի արշավում, որը չարաշահել է GitHub Actions-ը վտանգված ռեպոզիտորիաներում՝ CVE-2026-41940 շահագործելու և սերվերի հավատարմագրերը գողանալու համար։

CVE-2026-41940-ը վավերացման շրջանցում է, որը ազդում է cPanel-ի և WHM-ի վրա։ CISA-ն այն ավելացրել է իր Known Exploited Vulnerabilities կատալոգում ապրիլին, և cPanel-ը դրանից հետո հրապարակել է շտկված տարբերակներ։ JFrog-ը նշել է, որ C2 ենթակառուցվածքը նախկինում հաղորդվել է Socket-ի կողմից և որ իր գտածոները դրանք կապում են testmetest GitHub զոհերի կլաստերի հետ՝ նույն զավթված սեփականատերերի արտեֆակտների և աշխատանքային հոսքերի միջոցով։ Հետազոտողները գտել են 42 զինված GitHub ռեպոզիտորիա և փորձել են ինտերնետային մասշտաբի շահագործում, բայց չեն հաստատել հետագա cPanel վտանգումներ։

Աղբյուրներ՝ The Register