Кибер аюулгүй байдлын судлаачид GitHub-ын хөгжүүлэгчдийн дансыг хулгайлж, хортой код суулгасан “testmetest” нэртэй npm хорхойн халдлагыг илрүүлжээ.
JFrog компанийн судлаачдын мэдээлснээр, Miasma төрлийн энэхүү хорхой нь GitHub болон автоматжуулсан сканнеруудад илрэхээс сэргийлсэн том хэмжээний код ашиглан 11 эзэмшигчийн 42 репозиторыг нууцаар эзэлсэн байна. Уг халдлага нь өнгөрсөн долдугаар сараас эхлэн үйлдэгдсэн бөгөөд хортой код нь өөрийгөө хувилж, нэвтрэх эрхийн мэдээллийг хулгайлахаас гадна хохирогчийн GitHub токен хүчингүй болох үед системийн үндсэн директорыг устгах чадвартай аж.
Халдлага үйлдэгчид Claude, Gemini, Cursor болон VS Code зэрэг хиймэл оюун ухаанд суурилсан хөгжүүлэлтийн хэрэгслүүдэд аюултай холбоосуудыг суулгасан байна. 12.9-13.7 МБ хэмжээтэй полиморф бүрхүүл ашигласан уг хорхой нь CI (Continuous Integration) орчныг ашиглан ажилладаг бөгөөд аюулгүй байдлын сканнер, дибаг хийх хэрэгсэл эсвэл автоматжуулсан шинжилгээний орчин илэрвэл ажиллагаагаа нууцаар зогсоодог байна.
JFrog-ын судлаачид Гай Королевский болон Яир Бенаму нарын мэдээлснээр, халдлага үйлдэгч нь “CementBeetleSteeple” нэртэй GitHub хаягаар дамжуулан 17 репозиторыг удирдаж байжээ. Энэхүү үйл ажиллагаа нь cPanel болон WHM системийн эмзэг байдлыг (CVE-2026-41940) ашигладаг томоохон хэмжээний халдлагатай холбоотой болохыг тогтоосон байна.
SafeDep компанийн аюулгүй байдлын мэргэжилтнүүд аравдугаар сарын 19-нөөс 25-ны хооронд ижил төстэй 18 багцыг илрүүлсэн бөгөөд одоогоор cPanel-ийн шууд халдлагад өртсөн тохиолдол батлагдаагүй байна. Гэсэн хэдий ч халдлагад өртсөн репозиторууд болон CI тохиргоонуудыг өөрчилсөн нь хөгжүүлэгчид болон байгууллагуудын кибер аюулгүй байдалд ноцтой эрсдэл учруулж байгааг судлаачид анхаарууллаа.
Дэлгэрэнгүйг эх сурвалжаас харах
↓Эх сурвалжийг нээх ↓
A new Miasma-family npm worm, originally believed to be just a test with no victims, secretly armed 42 real GitHub repositories from 11 owners, hijacking accounts as early as July and using a stealthy payload built to stay hidden from GitHub and automated scanners, according to JFrog researchers. Threat hunters at SafeDep, an open source supply chain security firm, first spotted the “testmetest” npm campaign last week, identifying 18 packages linked to the same operator between October 19 and October 25, including releases containing credential-stealing malware. As with earlier npm worms, the malware is self-replicating, steals credentials, and installs a wiper that deletes the home directory when the victim revokes the stolen GitHub token, the security researchers noted. The new npm worm shares code with June’s Miasma Phantom Gyp worm, and adds Mini Shai-Hulud’s token-revocation wiper. As of October 22, however, SafeDep had found no compromised third-party packages or victims. “All observed activity belongs to the operator’s own test accounts,” the team wrote. As with most happy-ending security stories, that proved too good to be true. In a Monday report, supply chain security company JFrog said its analysis proved otherwise, and found the testmetest campaign operator “had already armed real repositories belonging to established developers and organizations.” This isn’t just about timing, either, according to JFrog researchers Guy Korolevski and Yair Benamou. “The payload blobs were large enough to evade the GitHub search and API paths normally used to find this kind of compromise,” they wrote. How the attacks worked The attackers planted execution hooks for AI coding assistants and development tools, including Claude, Gemini, Cursor, and VS Code, alongside polymorphic wrappers measuring 12.9 to 13.7 MB that decode a hidden CI-publisher payload. Separately, the npm worm steals credentials, modifies repositories and CI configurations, and spreads through npm packages. The malware also uses a compiled native add-on to decrypt and launch a separate payload. Before executing, the loader checks for CI runners, containers, sandboxes, debuggers, and other signs of automated analysis, exiting silently when it detects them to reduce the likelihood of detection by security scanners. The researchers also found a second build that skips the encrypted file. “It forks, detaches and runs a hard-coded command that pulls a loader from a repository on the operator’s own GitHub account,” they wrote. That account – CementBeetleSteeple – hosted 17 campaign repositories in total. JFrog connected this account to a shellpanel scanner, previously documented by Socket in a large-scale campaign that abused GitHub Actions in compromised repositories to exploit CVE-2026-41940 and steal server credentials. CVE-2026-41940 is an authentication bypass affecting cPanel and WHM. CISA added it to its Known Exploited Vulnerabilities catalog in April, and cPanel has since published patched versions. “C2 infrastructure were previously reported by Socket; our findings connect them to the testmetest GitHub victim cluster through artifacts and workflows on the same hijacked owners,” the JFrog researchers wrote. They added that while they found 42 armed GitHub repositories and attempted internet-wide exploitation, they did not confirm any downstream cPanel compromises.®
