Il malware Miasma amplia gli attacchi alla supply chain di npm e prende di mira le credenziali degli sviluppatori

Secondo Microsoft Threat Intelligence, una campagna di malware della supply chain nota come Miasma ha infettato più di 20 versioni di pacchetti npm legittimi collegati agli ecosistemi Leo Platform e RStreams. L'azienda ha dichiarato che l'ultima ondata è iniziata nella tarda giornata del 24 giugno, quando gli aggressori hanno preso il controllo di un account di manutentore npm identificato come “czirker” e pubblicato aggiornamenti malevoli dei pacchetti attraverso un processo altamente automatizzato, completato in pochi secondi.

La campagna è progettata per sottrarre dati sensibili dagli endpoint degli sviluppatori e dagli ambienti CI. Microsoft ha affermato che il malware cerca segreti relativi al cloud e ai sistemi di controllo del codice sorgente, tra cui credenziali AWS, Azure e Google Cloud, token di accesso personali di GitHub, segreti Kubernetes, dati di HashiCorp Vault, informazioni di 1Password e credenziali per la pubblicazione su npm. Controlla inoltre la memoria dei runner di GitHub Actions alla ricerca di ulteriori segreti.

Anziché inviare i dati rubati a un server di comando e controllo convenzionale, il malware crea un repository GitHub nell'account della vittima e vi carica le informazioni. Secondo i ricercatori, questo approccio contribuisce a nascondere l'attività all'interno di flussi di lavoro degli sviluppatori dall'aspetto normale. Il malware tenta inoltre di ripubblicare i pacchetti che l'account compromesso può gestire, consentendogli di diffondersi ulteriormente anche nei casi in cui sia attiva l'autenticazione a due fattori di npm.

Come è cambiato il malware

I ricercatori di sicurezza di Sonatype hanno affermato che questa versione differisce dai precedenti campioni di Miasma. Le varianti precedenti si affidavano maggiormente agli hook di installazione di npm, mentre quella più recente colloca il payload in un altro punto della catena di installazione. Scarica ed esegue inoltre il runtime JavaScript Bun invece di dipendere interamente da Node.js, una modifica che potrebbe aiutarla a eludere alcuni strumenti di rilevamento.

Miasma è stato collegato a precedenti incidenti che hanno coinvolto pacchetti npm di Red Hat compromessi, e secondo quanto riferito parti degli strumenti sono state condivise pubblicamente, rendendo più facile il riutilizzo da parte di altri aggressori. Microsoft consiglia alle organizzazioni che hanno installato versioni interessate di considerare potenzialmente compromessi i sistemi degli sviluppatori e i runner CI.

• Esaminare i lockfile delle dipendenze e i mirror interni dei pacchetti
• Controllare cache delle build, immagini dei container e runner CI alla ricerca di copie malevole dei pacchetti
• Ruotare i segreti esposti dopo essersi assicurati che gli artefatti infetti siano stati rimossi

I team di sicurezza avvertono che sostituire le credenziali troppo presto, prima che i pacchetti malevoli siano stati completamente rimossi, potrebbe semplicemente fornire agli aggressori nuovi segreti da sottrarre.