ไมโครซอฟท์เผยคลังโอเพนซอร์สกว่า 70 รายการถูกมัลแวร์ Miasma โจมตี เชื่อมโยงกับคดี GitHub ถูกขโมยข้อมูลเมื่อเดือนพฤษภาคม โดยเป็นฝีมือของกลุ่มเดียวกัน
ตามการตรวจสอบของ Beating พบว่า Microsoft ได้ปิดตัวลงอย่างเร่งด่วนเนื่องจากคลังโค้ดโอเพนซอร์สกว่า 70 รายการที่โฮสต์บน GitHub ถูกโจมตีด้วยหนอน Miasma คลังที่ติดเชื้อส่วนใหญ่รวมถึงโพรเซสโฮสต์ของ Azure Functions และเวอร์ชันโอเพนซอร์สของเฟรมเวิร์กการจัดระเบียบงาน Durable Task ในหลายภาษา เช่น .NET, Java, Go และ JavaScript
การโจมตี Microsoft ครั้งนี้มีต้นตอเดียวกันกับเหตุการณ์ขโมยโค้ดภายใน GitHub เมื่อกลางเดือนพฤษภาคม ในตอนนั้น กลุ่มแฮกเกอร์ TeamPCP ได้อัปโหลดส่วนขยาย VS Code ที่มีมัลแวร์ลงในตลาดแอปพลิเคชันของ Microsoft พนักงาน GitHub คนหนึ่งดาวน์โหลดและติดมัลแวร์ในช่วงเวลาว่างเพียง 11 นาทีที่ส่วนขยายถูกอัปโหลด ส่งผลให้ข้อมูลประจำตัวและคีย์ทั้งหมดในคอมพิวเตอร์ถูกขโมย แฮกเกอร์ใช้ข้อมูลเหล่านี้เลี่ยงระบบรักษาความปลอดภัย ขโมยคลังภายในของ GitHub ไปประมาณ 3,800 รายการ หลังจากนั้น TeamPCP ได้เผยแพร่และเปิดซอร์สเฟรมเวิร์กหนอนที่จำลองตัวเองได้ชื่อ Mini Shai-Hulud ในฟอรัม หนอน Miasma ที่บุกรุก Microsoft ในครั้งนี้เป็นเวอร์ชันอัปเกรดที่กลายพันธุ์จาก Mini Shai-Hulud
กลไกการทำงานของหนอน Miasma มุ่งเป้าไปที่สถานการณ์การเขียนโปรแกรมด้วย AI โดยเฉพาะ แฮกเกอร์ใช้ Token ของผู้มีส่วนร่วมของ Microsoft ที่ถูกขโมยมาก่อนหน้านี้ เพื่อฉีดโค้ดอันตรายเข้าไปในคลังทางการที่เชื่อถือได้ เมื่อนักพัฒนาเปิดหรือวิเคราะห์โปรเจกต์ที่ปนเปื้อนเหล่านี้ในผู้ช่วย AI เช่น Claude Code, Cursor หรือ Gemini CLI ผู้ช่วยเขียนโปรแกรมจะทริกเกอร์เพย์โหลดอันตรายโดยอัตโนมัติเมื่อแยกวิเคราะห์ไฟล์คอนฟิกูเรชัน เมื่อหนอนถูกเปิดใช้งาน มันจะสแกนดิสก์ในเบื้องหลัง ขโมยข้อมูลประจำตัวคลาวด์ AWS, GCP และ Azure รวมถึงคีย์ SSH, โทเค็น npm/PyPI และคีย์ Kubernetes จากคอมพิวเตอร์ของนักพัฒนา จากนั้นใช้ข้อมูลประจำตัวที่ได้มาเพื่อค้นหาคลัง GitHub ถัดไปเพื่อวางยาพิษ ทำให้เกิดการจำลองตัวเองโดยอัตโนมัติ
นี่เป็นครั้งที่สองในไม่กี่สัปดาห์ที่โปรเจกต์โอเพนซอร์ส Durable Task ของ Microsoft ถูกโจมตี (ปลายเดือนพฤษภาคมเคยถูกฝังแพ็กเกจ Python ที่เป็นอันตราย) สำหรับการส่งโค้ดที่เป็นอันตรายเมื่อต้นเดือนมิถุนายน ระบบป้องกันอัตโนมัติของ GitHub ตอบสนองอย่างรวดเร็ว โดยปิดคลังที่ติดเชื้อ 73 รายการภายใน 105 วินาทีหลังจากส่งโค้ด สำเร็จในการหยุดการแพร่กระจายของหนอน ปัจจุบัน Microsoft ได้แจ้งนักพัฒนาจำนวนน้อยที่ดึงโค้ดที่เสียหายไปแล้ว เริ่มหมุนเวียนข้อมูลประจำตัวอย่างเร่งด่วน และค่อยๆ กู้คืนคลังที่ได้รับผลกระทบหลังจากการตรวจสอบความปลอดภัย หน่วยงานความปลอดภัยเตือนว่า เมื่อการโจมตีห่วงโซ่อุปทานพัฒนาเป็นหนอนอัตโนมัติที่มุ่งเป้าไปที่เวิร์กโฟลว์ของเอเจนต์ AI นักพัฒนาควรประเมินความเสี่ยงในการรันคลังที่ไม่รู้จักโดยตรงในผู้ช่วย AI อย่างรอบคอบ
