Bulgulara göre, @asyncapi ad alanında güvenliği ihlal edilmiş dört npm paketinin çok aşamalı bir botnet yükleyici dağıttığı gözlemlendi.OX Güvenliği, SafeDep, Soket, VeAdım Güvenliği.
Etkilenen paketler aşağıda listelenmiştir:
- @asyncapi/generator-helpers@1.1.1
- @asyncapi/generator-components@0.7.1
- @asyncapi/generator@3.3.1
- @asyncapi/specs(v6.11.2, v6.11.2-alpha.1)
Socket, "Ele geçirilen paketler, IPFS'den Miasma olarak tanımlanan şifrelenmiş bir ikinci aşama yükünü indiren, gizlenmiş bir birinci aşama yükünü dağıtıyor" dedi.
Zehirli paketler, her biri aynı ikinci aşama indiricinin kodunu çözen enjekte edilmiş bir kaynak dosyası içeren gizli bir JavaScript implantı gönderiyor. Bir JavaScript yükünün yürütülmesini tetiklemek için yükleme kancalarından yararlanan önceki yinelemelerden farklı olarak, bu durumda kötü amaçlı kod, etkilenen modül Node.js tarafından yüklendiğinde çalıştırılır ve ardından, kötü amaçlı yazılımı IPFS'den indirip çalıştıran ayrı bir arka plan düğümünü başlatır.
Bir sonraki aşamadaki veri, işletim sistemine özgü yollara yazılan ve çalıştırılan "sync.js" adlı şifrelenmiş bir JavaScript yükleyicisidir. İndirici URL'si "ipfs[.]io/ipfs/QmQobZSp1wRPrpSEQ56qnyq7ecZh5Bg5k1fnjt4SUwwHb9" şeklindedir. Yükleyici iki bileşen içerir -
- Miasma görevlendirme çerçevesinin kodunu çözen şifrelenmiş son JavaScript yükü
- Çalışma zamanının ortaya çıkma zinciri çerçevesi tarafından kullanılan büyük, şifrelenmiş bir blob
Çerçeve 744 modülü bir araya getiriyor ve HTTP, Nostr rölesi, IPFS, BitTorrent DHT, libp2p GossipSub P2P ağı ve bir Ethereum akıllı sözleşmesi kullanan altı bağımsız komuta ve kontrol (C2) iletişim kanalını destekleyen bir komut çerçevesi olarak oluşturuldu.
Miasma, kimlik bilgisi hırsızlığını, yapay zeka araç zehirlenmesini, LAN yanal hareketini ve npm, PyPI ve Kargo kayıtlarında solucan benzeri yayılmayı kolaylaştırmanın yanı sıra, bir systemd, crontab, macOS başlatma ve Windows Kayıt Defteri otomatik başlatma anahtarları kurarak kendine ait bir kalıcılık mekanizmasına sahiptir.
"Kötü amaçlı yazılımın bazı benzerlikleri olmasına rağmenShai-Hulud ve MiasmaOX Security'den Moshe Siman Tov Bustan, "Bu kötü amaçlı yazılım, kampanyalarla aynı değil ve geçmişte gördüğümüz Miasma/Shai-Hulud/TeamPCP kampanyalarıyla da ilişkilendirilmiyor" dedi.
Ayrıca, çalınan bir jetonu izleyen ve jetonun iptal edilmesi durumunda bir dizin silme işlemini tetikleyen bir ölü adam anahtarı içerir; bu arada korumalı alanlar veya sanal ortamlar olarak tanımlanan sistemlerin yanı sıra mevcut dilleri Rusça olarak ayarlanmış veya CrowdStrike, SentinelOne, Microsoft Defender, CarbonBlack, Cylance, Osquery, Tanium ve Qualys'in güvenlik araçlarının kurulu olduğu sistemlerden kaçınır.
"En net operasyonel yolu REST tabanlı C2'dir: implant bir HTTP uç noktasına işaret verir, şifrelenmiş görevleri kabul eder ve komut sonuçlarını aynı altyapıya gönderir. Bu çekirdeğin etrafında yük aynı zamanda yükleme aktarımı, komut şifreleme, düğüm imzalama, yük güncellemeleri, dosya yönetimi, kabuk yürütme ve kalıcı yazma için destek taşır."
StepSecurity'ye göre, saldırganın depolara anlık erişim elde ettiği ve geçerli OIDC kaynak onaylarına sahip paketleri yayınlamak için projenin kendi meşru GitHub Actions sürüm hattını kullandığı söyleniyor. Tedarik zinciri saldırısı, bir npm tokeninin çalınmasını içermiyordu.
Güvenlik araştırmacısı Rohan Prabhu, "Her iki saldırı da CI/CD hattının ihlalidir, çalıntı npm belirteçleri veya kötü niyetli bakımcılar değil" dedi. "Saldırgan, yer tutucu git kimliği altında taahhütleri zorladı ve her veri havuzunun gerçek yayın iş akışının, npm'nin GitHub OIDC güvenilir yayıncı entegrasyonu aracılığıyla yayınlamayı yapmasına izin verdi."
"Sonuçta ortaya çıkan paketler, tetikleyici taahhütlerin meşru olduğunu değil, yalnızca projenin yetkili iş akışının bunları ürettiğini kanıtlayan meşru SLSA kaynak doğrulamaları taşıyor. Kaynak, güvenliği ihlal edilmiş bir itme kimlik bilgilerine karşı koruma sağlamaz."
Beş kötü amaçlı sürümün tümü o zamandan beri npm kayıt defterinde yayınlanmadı. Etkilenen paket sürümlerinden birini içe aktaran veya çalıştıran herhangi bir uç noktanın, potansiyel olarak tehlikeye atılmış olarak değerlendirilmesi önerilir. Ancak, maruz kalmanın virüslü modülün bir yapı mı yoksa geliştirici iş akışının bir parçası olarak mı yüklendiğine bağlı olduğunu belirtmekte fayda var.
StepSecurity, "Üç package.json dosyasının hiçbirinde ön kurulum/son kurulum/kurulum betiği yok" dedi. "Bu damlalık, jeneratörün normal kullanımı sırasında zehirlenen modülün gerekli olduğu durumlarda (npm kurulum zamanında değil, bir yapı veya CI işinin kütüphaneye çağrıldığı anda) etkinleşir."
Güncelleme
SafeDep, kötü amaçlı yazılımı "ya aynı operatörler tarafından özel, paralel bir yapı ya da kaynak yayınlandıktan sonra Miasma markasını benimseyen ayrı bir grup" olarak nitelendirdi. Kötü amaçlı yapıları MiasmStealer ve Supychain isimleri altında izleyen Microsoft, kampanyanın, daha yaygın olan kurulum sonrası kanca tedarik zinciri saldırı modelinin aksine, modül yükleme süresinde yürütüldüğünü söyledi.
Teknoloji devinin güvenlik araştırma ekibi, "Herhangi bir tüketen yapı veya uygulama zehirli bir paketi içe aktardığında, enjekte edilen blok hemen çalıştırılıyor" dedi.said. "Tetikleyici bir yükleme komut dosyası yerine bir içe aktarma olduğundan, ortak npm install –ignore-scripts azaltma işlemi onu etkisiz hale getirmez."
Microsoft ayrıca, uzlaşmanın bir kaynaktan kaynaklandığını da belirtti.pwn isteğiYanlış yapılandırılmış GitHub Eylemleri iş akışından ("pull_request_target") kaynaklanan "asyncapi/generator" deposuna karşı.
Wiz araştırmacıları Rami McCarthy ve Merav Bar, "asyncapi/generator deposu, çekme isteklerini tetiklemek için pull_request_target'ı kullanan bir iş akışı dosyası içeriyordu, ancak daha sonra temel dal yerine çekme isteğinin kodunu kontrol etti."said. "Bu tehlikelidir çünkü pull_request_target, sırlara tam erişimle temel depo bağlamında çalışır. İş akışı, çekme isteğinden saldırgan tarafından kontrol edilen kodu kontrol edip onu çalıştırdığında, bu sırlar erişilebilir hale gelir."
Google'ın sahibi olduğu güvenlik firması, pwn talebi potansiyelinin Florence Njeri adlı bir araştırmacının Nisan 2026'ya kadar tespit edildiğini söyledi.gönderildigüvenlik açığından yararlanan bir kavram kanıtı (PoC) yükü. Düzeltmeyi içeren bir çekme isteği, saldırı 14 Temmuz 2026'da gerçekleştiğinde açık ve birleştirilmemiş halde kaldı.
Yük, daha önce Shai-Hulud tedarik zinciri saldırılarında belgelenen Miasma kötü amaçlı yazılım çerçevesiyle bazı teknik özellikleri paylaşsa da, etkinlik kesin olarak belirli bir tehdit aktörüne bağlı değil. Aikido Güvenlik araştırmacısı Raphael Silva, "Miasma markası kodun yeniden kullanımını, taklidini veya kasıtlı yanlış etiketlemeyi yansıtıyor olabilir"said. "Burada kesin bir atıf yapılmamıştır."
Daha ileri analizler, kimlik bilgisi toplama, yapay zeka aracı zehirlenmesi, ölü adam değiştirme ve npm, PyPI ve Kargo vektörleri yoluyla yayılımla ilgili uygulanan özelliklerin birçoğunun kapatıldığını belirledi; ancak Microsoft bunların "kalıcılıkla etkinleştirilebileceği" konusunda uyardı.
(Hikaye yayınlandıktan sonra ek bilgiler içerecek şekilde güncellendi.)
