Worm khai thác 42 kho GitHub bằng payload quá lớn để phát hiện
"A new Miasma-family npm worm successfully compromised 42 GitHub repositories belonging to 11 owners by utilizing large payload blobs (12.9-13.7MB) to evade detection by GitHub's code search and scanners. The worm steals credentials, modifies repositories, and spreads through npm packages, and is linked to a previous campaign exploiting CVE-2026-41940 in cPanel and WHM. While no downstream cPanel compromises were confirmed, the attack highlights the risk of supply chain attacks."
Worm này có thể đánh cắp thông tin xác thực và sửa đổi kho lưu trữ GitHub, gây ra mất dữ liệu và gián đoạn dịch vụ.
Các doanh nghiệp sử dụng GitHub có thể bị mất uy tín và thiệt hại tài chính do worm này. Việc kiểm tra bảo mật và vá lỗi là rất quan trọng.
Một worm thuộc họ Miasma đã xâm nhập 42 kho GitHub của 11 chủ sở hữu, bắt đầu từ tháng 7. Kỹ thuật tấn công sử dụng các payload lớn (12.9-13.7MB) để vượt qua cơ chế tìm kiếm và quét mã của GitHub. Worm này đánh cắp thông tin xác thực, sửa đổi kho lưu trữ và lan truyền qua các gói npm.
JFrog, một công ty bảo mật chuỗi cung ứng, phát hiện chiến dịch “testmetest” này. Ban đầu, nó được cho là một thử nghiệm, nhưng phân tích cho thấy worm đã thực sự xâm nhập các kho của các nhà phát triển và tổ chức. Payload lớn giúp worm tránh bị phát hiện.
Worm này sử dụng các hook thực thi cho các công cụ hỗ trợ viết code AI như Claude, Gemini, Cursor và VS Code. Nó cũng sử dụng các wrapper đa hình để giải mã payload CI-publisher ẩn. Worm còn có một add-on native được biên dịch để giải mã và chạy payload riêng biệt. Nó kiểm tra môi trường để tránh bị phân tích tự động.
JFrog liên kết tài khoản CementBeetleSteeple (chứa 17 kho chiến dịch) với một chiến dịch trước đó sử dụng CVE-2026-41940 để khai thác cPanel và WHM. Mặc dù không xác nhận được các vụ xâm nhập cPanel do worm gây ra, nhưng vụ việc cho thấy rủi ro từ các cuộc tấn công chuỗi cung ứng. https://www.theregister.com/2026/10/26/worm_armed_42_github_repos/
Câu hỏi thường gặp
Worm này hoạt động như thế nào?
Worm sử dụng các payload lớn để tránh bị phát hiện bởi GitHub. Nó cũng sử dụng các hook thực thi cho các công cụ hỗ trợ viết code AI và một add-on native để giải mã và chạy payload.
CVE-2026-41940 là gì?
CVE-2026-41940 là một lỗ hổng bypass xác thực ảnh hưởng đến cPanel và WHM. CISA đã thêm nó vào danh mục các lỗ hổng đã biết và cPanel đã phát hành các bản vá.
Worm này có ảnh hưởng đến cPanel không?
JFrog không xác nhận bất kỳ vụ xâm nhập cPanel nào do worm này gây ra, nhưng worm có liên quan đến một chiến dịch trước đó khai thác lỗ hổng CVE-2026-41940 trong cPanel.
Góc nhìn của Orange Cloud
Theo chúng tôi, kích thước payload lớn để vượt qua các biện pháp bảo mật của GitHub là một chiến thuật đáng chú ý. Các doanh nghiệp Việt Nam sử dụng GitHub cần kiểm tra kỹ các kho lưu trữ của họ để phát hiện các thay đổi bất thường. Điều đáng chú ý là worm này cũng liên kết với một lỗ hổng đã biết trong cPanel, nhấn mạnh tầm quan trọng của việc vá lỗi kịp thời.