Un nuovo worm della famiglia Miasma, inizialmente considerato un esperimento senza vittime, ha colpito in segreto 42 repository reali su GitHub appartenenti a 11 proprietari diversi. Gli attacchi, che si sono verificati a partire da luglio, hanno utilizzato un payload elaborato per rimanere nascosto da GitHub e dai scanner automatici, secondo i ricercatori di JFrog.
I cacciatori di minacce di SafeDep, un’azienda specializzata nella sicurezza della supply chain open source, hanno scoperto la campagna “testmetest” la scorsa settimana, identificando 18 pacchetti collegati al medesimo operatore tra il 19 e il 25 ottobre, inclusi rilasci contenenti malware in grado di rubare credenziali. Come nei precedenti worm npm, il malware è in grado di auto-replicarsi, rubare credenziali e installare un wiper che cancella la directory home quando la vittima revoca il token GitHub rubato, hanno fatto notare i ricercatori di sicurezza.
Il nuovo worm npm condivide il codice con il worm Miasma Phantom Gyp di giugno e introduce il wiper per la revoca del token di Mini Shai-Hulud. Tuttavia, a partire dal 22 ottobre, SafeDep non aveva trovato pacchetti di terze parti compromessi o vittime. “Tutta l’attività osservata appartiene agli account di test dell’operatore”, hanno scritto.
All’inizio, le notizie sembravano ottimistiche; tuttavia, in un rapporto pubblicato lunedì, l’azienda di sicurezza della supply chain JFrog ha dimostrato il contrario, scoprendo che l’operatore della campagna “testmetest” aveva già armato repository reali appartenenti a sviluppatori e organizzazioni consolidate.
Come hanno funzionato gli attacchi
Gli aggressori hanno piantato hook di esecuzione per assistenti di coding AI e strumenti di sviluppo, tra cui Claude, Gemini, Cursor e VS Code, insieme a wrapper polimorfici che misurano tra 12.9 e 13.7 MB in grado di decodificare un payload CI publisher nascosto. Inoltre, il worm npm ruba credenziali, modifica repository e configurazioni CI, e si diffonde attraverso pacchetti npm.
Il malware utilizza anche un add-on nativo compilato per decrittografare e avviare un payload separato. Prima dell’esecuzione, il loader controlla la presenza di CI runners, contenitori, sandbox, debugger e altri segni di analisi automatizzata, uscendo silenziosamente quando li rileva per ridurre la probabilità di rilevamento da parte degli scanner di sicurezza. I ricercatori hanno anche trovato una seconda build che salta il file criptato. “Si fork, si stacca e esegue un comando hard-coded che preleva un loader da un repository sull’account GitHub dell’operatore”, hanno scritto. Questo account, CementBeetleSteeple, ospitava 17 repository della campagna in totale.
JFrog ha legato questo account a uno scanner shellpanel, già documentato in una campagna su larga scala che ha abusato di GitHub Actions in repository compromessi per sfruttare la vulnerabilità CVE-2026-41940 e rubare credenziali di server. CVE-2026-41940 rappresenta una bypass di autenticazione che interessa cPanel e WHM. CISA l’ha aggiunta al suo catalogo delle vulnerabilità conosciute sfruttate ad aprile, e cPanel ha successivamente pubblicato versioni patchate.
“Le infrastrutture C2 erano già state segnalate da Socket; le nostre scoperte collegano questi alla rete di vittime di testmetest attraverso artefatti e flussi di lavoro sugli stessi proprietari hijacked”, hanno scritto i ricercatori di JFrog. Hanno aggiunto che, mentre hanno trovato 42 repository su GitHub compromessi e tentativi di sfruttamento a livello globale, non hanno confermato compromissioni downstream di cPanel.
