Nova ameaça Miasma se esconde em payloads gigantescos para infectar repositórios reais
Uma worm da família Miasma, distribuído por meio de pacotes npm, foi identificado armando secretamente 42 repositórios reais no GitHub pertencentes a 11 proprietários distintos. A campanha, batizada de ‘testmetest’, começou a operar desde julho, segundo pesquisadores da JFrog, e utilizou técnicas sofisticadas para evitar detecção por mecanismos de busca e análise automatizada da plataforma.
Payloads de até 13,7 MB escapam da busca do GitHub
O segredo do sucesso do atacante está no tamanho dos blobs de carga útil, que variam entre 12,9 MB e 13,7 MB. Essas dimensões os tornam invisíveis aos caminhos de busca e API do GitHub normalmente usados para detectar compromissos desse tipo. Além disso, o malware planta ganchos de execução para assistentes de codificação baseados em IA, como Claude, Gemini, Cursor e Visual Studio Code.
Malware se autoreplica e rouba credenciais
Assim como outras campanhas anteriores de worms npm, este malware é autocontido, rouba credenciais e instala um wiper que elimina o diretório inicial do usuário caso ele revogue o token do GitHub roubado. A ameaça também utiliza wrappers polimórficos e um add-on nativo compilado para descriptografar e executar uma carga útil adicional.
Bypass e detecção de ambientes de análise
Antes de qualquer ação, o loader incorporado verifica a presença de runners de CI, contêineres, sandboxes e depuradores. Caso algum sinal de análise automatizada seja detectado, o programa encerra silenciosamente, reduzindo drasticamente as chances de ser flagrado por scanners de segurança.
Segunda variante busca carregar código remoto
Os pesquisadores da JFrog também descobriram uma segunda versão do malware que omite o arquivo criptografado. Nessa variação, o código bifurca o processo, se separa do pai e executa um comando fixo que puxa um loader diretamente de um repositório hospedado na conta do atacante no GitHub, chamada CementBeetleSteeple. Essa conta abrigava 17 repositórios associados à campanha.
Ligação a exploração em larga escala
A conta CementBeetleSteeple foi conectada por pesquisadores à uma scanner shellpanel já documentada pela Socket em uma campanha anterior que explorava o GitHub Actions para atacar a vulnerabilidade CVE-2026-41940, uma falha de autenticação em cPanel e WHM. A CISA incluiu essa CVE no catálogo de Vulnerabilidades Conhecidas Exploatadas em abril.
Com informações de: The Register