Исходный код Miasma показал масштаб атаки на цепочку поставок ПО
Исследователи SafeDep разобрали исходный код Miasma, который появился на GitHub через скомпрометированные аккаунты разработчиков. По их оценке, это не просто самораспространяющийся червь, а полноценный toolkit для атак на цепочку поставок ПО.
Внутри Miasma нашли модули для кражи учетных данных из AWS, Azure, GCP, GitHub, npm, PyPI, RubyGems, Artifactory и других сервисов. Инструмент также поддерживает атаки на GitHub Actions, SSH-перемещение по инфраструктуре и заражение конфигураций ИИ-ассистентов для кода.
Отдельная особенность Miasma - отсутствие классической C2-инфраструктуры. По данным SafeDep, toolkit может использовать GitHub commit search как канал управления, что снижает зависимость атакующих от выделенных серверов и усложняет блокировку операции.
Исследователи отмечают, что проект был оформлен как зрелый инструмент: с архитектурной документацией, интеграционными тестами и модульной структурой. Это указывает на более высокий уровень подготовки, чем у обычных вредоносных пакетов, нацеленных только на разовую кражу токенов.
Публикация исходников повышает риски повторного использования Miasma другими злоумышленниками. Разработчикам и компаниям рекомендуют проверить персональные access tokens, ограничить права CI/CD-секретов, контролировать изменения в GitHub Actions и конфигурациях IDE, а также отслеживать подозрительную активность в пакетных реестрах.
похожие материалы
Почти 300 фейковых GitHub-репозиториев выдавали вредоносное ПО за легальные программы
Исследователи Arctic Wolf обнаружили крупную кампанию с поддельными GitHub-репозиториями.
Мошенники начали блокировать iPhone подростков через iCloud
Мошенники используют новую схему против подростков с iPhone: по данным МВД, злоумышленники под разными предлогами просят несовершеннолетних войти на своем устройстве в чужую учетную запись iCloud, после чего блокируют телефон или планшет и требуют деньги за разблокировку.
Каждая пятая утечка данных связана с теневым использованием ИИ
Несанкционированное использование ИИ-инструментов становится отдельным классом инцидентов в информационной безопасности.
«Базальт СПО» приглашает разработчиков свободного ПО на конкурс «Код логики»
Стартовал первый этап конкурса Open-Source-проектов для разработчиков свободного программного обеспечения «Код логики».
США ввели санкции против VPN-сервиса, которым пользовались вымогатели
Минфин США ввел санкции против First VPN Service, также известного как 1VPNS, его администратора Дмитрия Рашевского и белорусского гражданина Евгения Силаева.
Apple обвинила OpenAI в краже секретов для создания ИИ-гаджета
Apple подала иск против OpenAI, OpenAI Group PBC, io Products и двух бывших сотрудников компании - Чанга Лю и Тан Ю Таня.
Решения «Лаборатории Касперского» получили в 2026 году четыре годовые награды по итогам тестов SE Labs
«Лаборатория Касперского» в 2026 году восьмой раз подряд показала высокие результаты по итогам ежеквартальных тестов SE Labs.
Эксперты предупредили о цепочке уязвимостей OnlyShells в ONLYOFFICE
Эксперты BI ZONE выявили цепочку уязвимостей в офисном пакете ONLYOFFICE Desktop Editors.
«Любое умное устройство в вашей сети — это небольшой компьютер»: Сергей Полунин об уязвимости в роботах-пылесосах Shark
Как сообщают в GBHackers, миллионы роботов-пылесосов Shark, имеющих подключение к интернету, уязвимы для критической ошибки удалённого выполнения кода (RCE).
Управление конфигурациями как фундамент ИБ: эксперт Security Vision раскрыл принципы защиты от «дрейфа» настроек на основе реального опыта внедрения
Как превратить разовые проверки безопасности в непрерывный процесс, который действительно защищает бизнес, а не просто формально закрывает требования регуляторов?