ჭიამ 42 GitHub-ის რეპოზიტორია იმდენად დიდი payload-ის დამალვით შეაიარაღა, რომ ვერ იქნა აღმოჩენილი

JFrog-ის თქმით, Miasma-ს ოჯახის npm ჭიამ, რომელიც უმსხვერპლო ტესტად მიიჩნეოდა, ფარულად შეაიარაღა 11 მფლობელის 42 რეალური GitHub-ის რეპოზიტორია. კამპანიამ ანგარიშები ივლისშივე გაიტაცა და გამოიყენა ფარული payload-ები, რომლებიც GitHub-სა და ავტომატურ სკანერებს უნდა გამოეპარათ. JFrog-ის თქმით, payload-ის ბლობების ზომა 12,9-დან 13,7 MB-მდე იყო, რაც საკმარისად დიდია, რომ GitHub-ის კოდის ძიებას თავი აარიდოს.

ტესტიდან რეალურ მსხვერპლამდე

SafeDep-მ 'testmetest' npm კამპანია გასულ კვირაში შენიშნა და 19 ოქტომბრიდან 25 ოქტომბრამდე იმავე ოპერატორთან დაკავშირებული 18 პაკეტი იპოვა, მათ შორის გამოშვებები, რომლებიც საიდენტიფიკაციო მონაცემების მომპარავ მავნე პროგრამას შეიცავდნენ. ადრინდელი npm ჭიების მსგავსად, ის თვითგამრავლებადია, იპარავს საიდენტიფიკაციო მონაცემებს და აყენებს wiper-ს, რომელიც შლის home დირექტორიას, როცა მსხვერპლი გააუქმებს მოპარულ GitHub token-ს. 22 ოქტომბრისთვის SafeDep-მ ვერ იპოვა არც კომპრომეტირებული მესამე მხარის პაკეტები და არც მსხვერპლი და განაცხადა, რომ ყველა დაფიქსირებული აქტივობა ოპერატორის საკუთარ სატესტო ანგარიშებს ეკუთვნოდა. JFrog-ის ორშაბათის ანგარიშში ნათქვამია, რომ მისმა ანალიზმა საპირისპირო დაამტკიცა და დაადგინა, რომ ოპერატორს უკვე შეიარაღებული ჰქონდა რეალური რეპოზიტორიები, რომლებიც ცნობილ დეველოპერებსა და ორგანიზაციებს ეკუთვნოდათ.

როგორ მუშაობდა შეტევები

თავდამსხმელებმა განათავსეს execution hook-ები AI კოდირების ასისტენტებისა და დეველოპმენტის ხელსაწყოებისთვის, მათ შორის Claude-ის, Gemini-ის, Cursor-ისა და VS Code-ის, ასევე პოლიმორფული wrapper-ები 12,9-დან 13,7 MB-მდე, რომლებიც გაშიფრავენ დამალულ CI-publisher payload-ს. ამასთან, npm ჭია იპარავს საიდენტიფიკაციო მონაცემებს, ცვლის რეპოზიტორიებსა და CI კონფიგურაციებს და ვრცელდება npm პაკეტებით. მავნე პროგრამა ასევე იყენებს კომპილირებულ native დამატებას ცალკე payload-ის გასაშიფრად და გასაშვებად. შესრულებამდე loader-ი ამოწმებს CI runner-ებს, კონტეინერებს, sandbox-ებს, debugger-ებსა და ავტომატური ანალიზის სხვა ნიშნებს; როდესაც მათ აღმოაჩენს, ჩუმად წყვეტს მუშაობას, რათა შეამციროს უსაფრთხოების სკანერების მიერ აღმოჩენის ალბათობა.

მეორე build-ი და დაკავშირებული კამპანიები

მკვლევარებმა იპოვეს მეორე build-იც, რომელიც დაშიფრულ ფაილს გამოტოვებს. ის აკეთებს fork-ს, detach-ს და უშვებს hard-coded command-ს, რომელიც loader-ს ოპერატორის საკუთარი GitHub-ის ანგარიშის რეპოზიტორიიდან იღებს. ამ ანგარიშზე (CementBeetleSteeple) სულ 17 კამპანიის რეპოზიტორია იყო. JFrog-მ ეს ანგარიში დაუკავშირა shellpanel სკანერს, რომელიც ადრე Socket-მა აღწერა მასშტაბურ კამპანიაში, სადაც კომპრომეტირებულ რეპოზიტორიებში GitHub Actions-ს ბოროტად იყენებდნენ CVE-2026-41940-ის ექსპლუატაციისა და სერვერის საიდენტიფიკაციო მონაცემების მოსაპარად.

CVE-2026-41940 არის აუთენტიფიკაციის გვერდის ავლა, რომელიც cPanel-სა და WHM-ს ეხება. CISA-მ ის აპრილში შეიტანა Known Exploited Vulnerabilities კატალოგში, ხოლო cPanel-მა მას შემდეგ გამოსწორებული ვერსიები გამოაქვეყნა. JFrog-ის თქმით, C2 ინფრასტრუქტურა ადრე Socket-მა აღწერა და მისი აღმოჩენები მას testmetest GitHub-ის მსხვერპლთა კლასტერს უკავშირებს იმავე გატაცებული მფლობელების არტეფაქტებითა და workflow-ებით. მკვლევარებმა იპოვეს 42 შეიარაღებული GitHub-ის რეპოზიტორია და ინტერნეტის მასშტაბით ექსპლუატაციის მცდელობაც, თუმცა cPanel-ის არცერთი შემდგომი კომპრომეტაცია არ დაადასტურეს.

წყაროები: The Register