Хробак озброїв 42 репозиторії GitHub, сховавши надто велике для виявлення навантаження

npm-хробак родини Miasma, якого спершу вважали лише тестом без жертв, таємно озброїв 42 справжні репозиторії GitHub від 11 власників, повідомляють дослідники JFrog. Кампанія перехоплювала облікові записи вже з липня та використовувала приховані навантаження, створені для непомітності для GitHub і автоматизованих сканерів. JFrog повідомила, що блоби навантаження мали розмір від 12.9 до 13.7 МБ, достатній для обходу пошуку коду GitHub.

Від тесту до справжніх жертв

SafeDep уперше помітила npm-кампанію «testmetest» минулого тижня та виявила 18 пакетів, пов'язаних з тим самим оператором, між 19 і 25 жовтня, включно з випусками, що містили шкідливе програмне забезпечення для викрадення облікових даних. Як і попередні npm-хробаки, малварь саморозмножується, викрадає облікові дані та встановлює вайпер, який видаляє домашній каталог, коли жертва відкликає викрадений токен GitHub. Станом на 22 жовтня SafeDep не знайшла скомпрометованих сторонніх пакетів або жертв і повідомила, що вся спостережувана активність належала власним тестовим обліковим записам оператора. У понеділковому звіті JFrog повідомила, що її аналіз довів протилежне та виявив, що оператор уже озброїв справжні репозиторії, які належать усталеним розробникам і організаціям.

Як працювали атаки

Нападники встановили хуки виконання для помічників з програмування на основі ШІ та інструментів розробки, зокрема Claude, Gemini, Cursor і VS Code, разом із поліморфними обгортками розміром від 12.9 до 13.7 МБ, що декодують приховане навантаження CI-publisher. Окремо npm-хробак викрадає облікові дані, змінює репозиторії та конфігурації CI і поширюється через npm-пакети. Шкідливе ПЗ також використовує скомпільований нативний додаток для розшифрування та запуску окремого навантаження. Перед виконанням завантажувач перевіряє наявність CI-ранерів, контейнерів, пісочниць, налагоджувачів та інших ознак автоматизованого аналізу, мовчки завершуючись, коли виявляє їх, щоб знизити ймовірність виявлення сканерами безпеки.

Друга збірка та пов'язані кампанії

Дослідники також знайшли другу збірку, яка пропускає зашифрований файл. Вона робить форк, від'єднується і виконує жорстко закодовану команду, що витягує завантажувач із репозиторію у власному обліковому записі GitHub оператора. Цей обліковий запис, CementBeetleSteeple, загалом містив 17 репозиторіїв кампанії. JFrog пов'язала цей обліковий запис із сканером shellpanel, раніше задокументованим Socket у великомасштабній кампанії, яка зловживала GitHub Actions у скомпрометованих репозиторіях для експлуатації CVE-2026-41940 і викрадення облікових даних серверів.

CVE-2026-41940 є обходом автентифікації, що впливає на cPanel і WHM. CISA додала його до каталогу відомих експлуатованих уразливостей у квітні, а cPanel з того часу опублікувала виправлені версії. JFrog повідомила, що інфраструктуру C2 раніше задокументував Socket, а її висновки пов'язують їх із кластером жертв testmetest на GitHub через артефакти та робочі процеси на тих самих перехоплених власниках. Дослідники знайшли 42 озброєні репозиторії GitHub і спробували експлуатацію в масштабах інтернету, але не підтвердили жодних подальших компрометацій cPanel.

Джерела: The Register