Thought Leadership
Der Quellcode des Miasma-Wurms wurde gezielt auf GitHub veröffentlicht. Die Schadsoftware verbreitet sich autonom und löscht bei Entdeckung Benutzerdaten.
Die Sicherheitsfirma SafeDep hat berichtet, dass der Quellcode des Angriffs-Frameworks Miasma gezielt auf der Entwicklerplattform GitHub veröffentlicht wurde. Die Angreifer nutzten dafür mehrere kompromittierte Konten von Softwareentwicklern und legten dort Verzeichnisse unter dem Namen Miasma-Open-Source-Release an. Nach Einschätzung der Analysten handelt es sich um eine bewusste Veröffentlichung durch die Akteure, ähnlich wie es zuvor bereits beim Vorgänger-Wurm Shai-Hulud der Fall gewesen war. Miasma stellt eine technologische Weiterentwicklung dieser früheren Schadsoftware dar und teilt mit ihr wesentliche Funktionen, Codeabschnitte und Angriffstechniken. Das Framework wurde in der Vergangenheit bereits mit Angriffen auf Npm-Pakete von Red Hat sowie auf 73 Microsoft-Repositories in Verbindung gebracht.
Die Funktionsweise von Miasma basiert auf einem autonomen, wurmartigen Selbstreplikationsmechanismus. Das Schadprogramm infiziert die Rechner von Softwareentwicklern, liest die dortigen Build-Umgebungen sowie Cloud-Zugangsdaten aus und nutzt diese direkt, um legitime Software-Repositories und Programmpakete zu kompromittieren. Durch das Veröffentlichen manipulierter Versionen werden nachgelagerte Entwickler infiziert, wodurch sich der Zyklus selbstständig fortsetzt. Diese Methode ermöglicht es, einen einzelnen Sicherheitsbruch schnell in einen weitreichenden Angriff auf die gesamte Software-Lieferkette auszuweiten.
Miasma integriert Totmannschalters
Aus den geleakten Code-Dateien geht hervor, dass das Toolkit für seinen Betrieb keine eigene Befehls- und Kontrollinfrastruktur benötigt, da es stattdessen GitHub für diesen Zweck missbraucht. Das Framework sammelt Zugangsdaten von Cloud-Anbietern, CI/CD-Systemen, Passwortmanagern, Kubernetes-Umgebungen und geheimen Speichern. Diese Daten werden genutzt, um Pakete auf Plattformen wie Npm, PyPI und RubyGems sowie GitHub-Repositories, Actions-Workflows und JFrog-Artifactory-Instanzen zu gewinnen. Zudem kann sich die Software lateral über SSH und den AWS Systems Manager bewegen und die Konfigurationen von KI-gestützten Programmierwerkzeugen wie Claude, Gemini, Cursor, Copilot, Kiro und Cline kompromittieren.
Eine Besonderheit des Quellcodes ist ein integrierter Totmannschalter. Wenn die Schadsoftware einen gestohlenen GitHub-Token als Kanal für den Datenabfluss nutzt, überwacht eine Komponente jede Minute die Gültigkeit dieses Tokens. Falls der Token vom rechtmäßigen Besitzer oder der Plattform gesperrt wird, führt das Schadprogramm automatisch einen zerstörerischen Befehl aus. Dieser löscht rekursiv alle Dateien und Verzeichnisse im Home-Verzeichnis sowie im Dokumente-Ordner des betroffenen Benutzers. Dieser Überwachungsdienst läuft auf Linux-Systemen als systemd-Benutzerdienst und auf macOS als LaunchAgent und bleibt bis zu 72 Stunden aktiv.
Fünfstufige Build-Pipeline und Schutzmaßnahmen
Der Code offenbart zudem eine fünfstufige Build-Pipeline, die für jeden Kompiliervorgang einzigartige Payloads generiert. Der Prozess kombiniert eine dateibasierte AES-256-GCM-Verschlüsselung eingebetteter Elemente mit zufälliger String-Verschleierung, Quellcode-Transformationen, JavaScript-Obfuscation und einem selbstentpackenden Loader, der die finale Nutzlast in drei Verschlüsselungsebenen hüllt. Durch diese dynamische Generierung unterscheidet sich jede Datei strukturell von vorherigen Versionen, was eine signaturbasierte Erkennung und statische Analysen durch Sicherheitssysteme erschwert.
Aufgrund der Veröffentlichung des Codes wird in der Sicherheitsbranche mit einer Zunahme modifizierter Varianten gerechnet. Entwicklern wird empfohlen, Projektabhängigkeiten fest zu verankern, künstliche Verzögerungen vor dem Einspielen neuer Paket-Updates einzuhalten und neue Builds ausschließlich in isolierten Testumgebungen zu validieren.
(red)
