Оператор опубликовал 15 npm-пакетов с червём Miasma
С 19 по 22 октября 2026 года оператор опубликовал 15 вредоносных пакетов npm с названиями, заканчивающимися на testmetest. Вредоносная программа относится к семейству npm-червей Miasma и использует код, общий с Miasma Phantom Gyp. По состоянию на 22 октября скомпрометированных сторонних пакетов и подтверждённых жертв не выявили, наблюдаемая активность ограничивалась тестовыми аккаунтами оператора.
Публикация пакетов и поведение червя
Аккаунты alexjoipamiba и testnewtestme опубликовали четыре пакета. Каждый пакет выпускали поэтапно: сначала выходила версия 0.0.0-stage, затем безобидная приманка версии 1.0.0, а после неё вредоносный патч-релиз, например 0.0.1, который назначали последней версией.
Червь завершает работу при обнаружении русской локали и локалей других стран СНГ, а также в известных песочницах для анализа. В среде GitHub Actions он пытается остановить StepSecurity Harden-Runner через docker.sock, перенаправляет запросы к *.stepsecurity.io на localhost и прекращает работу, если обойти защитные механизмы не удаётся.
Полезная нагрузка ищет ключи SSH, учётные данные npm, PyPI и Git, файлы .env, логины браузеров, учётные данные инструментов ИИ Claude, Codex, Gemini и Copilot, секреты облачной и инфраструктурной среды, а также секреты GitHub Actions в памяти процесса Runner.Worker. Украденные данные червь шифрует и коммитит в новый публичный репозиторий GitHub. Обычно такой репозиторий получает название в формате smart-workers-48213 и описание, например project-utils. Сообщения коммитов начинаются с AutoSyncComplete: и содержат токен GitHub жертвы, зашифрованный встроенным ключом. Резервный адрес для эксфильтрации данных: hxxps://aiarmor[.]website/v1/api.
Распространение, закрепление и уничтожение данных
Для распространения червь модифицирует пакеты npm и публикует их новые патч-версии, повторно размещает пакеты в PyPI, RubyGems и JFrog, а также внедряет в репозитории GitHub и GitLab поддельные рабочие процессы CodeQL, файлы конфигурации ИИ-агентов и загрузчики для Windows. Кроме того, он копирует себя по SSH на хосты из файла known_hosts.
Компоненты закрепления проверяют украденный токен GitHub каждые 45 секунд на протяжении 48 часов. Если при обращении возвращается HTTP 401 или 403, они выполняют команды rm -rf ~/ и rm -rf ~/Documents. В состав вредоносной программы также входит механизм отмены токенов, вайпер, связанный с Mini Shai-Hulud.
Дополнительная запланированная активность включает поиск строки msync-3f7a в коммитах GitHub и выполнение кода на Python, подписанного злоумышленником.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
