セキュリティ
12.9MB〜13.7MBのペイロードは、GitHubのコード検索を回避できるほど巨大だった
JFrogの研究者によると、当初は被害者のいない単なるテストと見られていた、Miasmaファミリーの新たなnpmワームが、実際には11人の所有者が持つ42のGitHubリポジトリを密かに武器化していたことが分かりました。早ければ7月からアカウントを乗っ取り、GitHubや自動スキャナーの目から隠れるよう設計されたステルス性の高いペイロードを使っていたということです。
オープンソースのサプライチェーンセキュリティ企業SafeDepの脅威ハンターは先週、「testmetest」と呼ばれるnpmキャンペーンを最初に発見しました。10月19日から10月25日にかけて、同じ攻撃者に関連する18のパッケージを特定しており、その中には認証情報を窃取するマルウェアを含むリリースもありました。セキュリティ研究者によると、このマルウェアはこれまでのnpmワームと同様に自己増殖して認証情報を盗みます。さらに、被害者が盗まれたGitHubトークンを失効させると、ホームディレクトリを削除するワイパーをインストールします。
この新しいnpmワームは、6月に確認されたMiasma Phantom Gypワームとコードを共有しています。加えて、Mini Shai-Huludのトークン失効型ワイパーも組み込んでいます。
ただしSafeDepは、10月22日の時点では、侵害されたサードパーティ製パッケージも被害者も見つかっていませんでした。同チームは「確認された活動はすべて、攻撃者自身のテストアカウントによるものだ」と記しています。
セキュリティの世界で、ハッピーエンドの話は往々にして出来すぎているものです。今回もそうでした。
サプライチェーンセキュリティ企業のJFrogは月曜日に公開したレポートで、分析の結果は異なっていたと述べました。testmetestキャンペーンの攻撃者は「実績のある開発者や組織が所有する実際のリポジトリを、すでに武器化していた」といいます。
JFrogの研究者であるGuy Korolevski氏とYair Benamou氏によると、問題は発覚の時期だけではありません。両氏は「ペイロードのblobは非常に大きく、この種の侵害を見つけるために通常使われるGitHubの検索パスやAPIパスをすり抜けられた」と書いています。
攻撃の手口
攻撃者は、Claude、Gemini、Cursor、VS Codeなど、AIコーディングアシスタントや開発ツール向けの実行フックを仕込みました。あわせて、隠されたCIパブリッシャーのペイロードをデコードする、12.9MB〜13.7MBのポリモーフィック型ラッパーも設置しています。これとは別に、このnpmワームは認証情報を盗み、リポジトリやCI設定を改ざんし、npmパッケージを介して拡散します。
マルウェアはさらに、コンパイル済みのネイティブアドオンを使って、別のペイロードを復号して起動します。ローダーは実行前に、CIランナー、コンテナ、サンドボックス、デバッガー、そのほか自動解析の兆候を確認します。検知すると何も表示せずに終了し、セキュリティスキャナーに見つかる可能性を下げています。
研究者らは、暗号化ファイルを使わない第2のビルドも発見しました。「このビルドはフォークしてデタッチし、ハードコードされたコマンドを実行する。コマンドは、攻撃者自身のGitHubアカウント上にあるリポジトリからローダーを取得するものだ」と説明しています。このアカウント「CementBeetleSteeple」は、キャンペーン用のリポジトリを合計17件ホストしていました。
JFrogは、このアカウントをshellpanelスキャナーと結び付けました。このスキャナーは以前、Socketが報告していたものです。この大規模なキャンペーンでは、侵害したリポジトリ上のGitHub Actionsを悪用してCVE-2026-41940を突き、サーバーの認証情報を盗んでいました。
CVE-2026-41940は、cPanelとWHMに影響する認証バイパスの脆弱性です。CISAは4月にこの脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、cPanelはその後、パッチ適用済みバージョンを公開しています。
JFrogの研究者らは「C2インフラはこれまでにSocketが報告していた。われわれの調査では、同じく乗っ取られた所有者のアーティファクトとワークフローを通じて、それらをtestmetestのGitHub被害者クラスターに結び付けた」と書いています。また、武器化された42のGitHubリポジトリを発見し、インターネット規模での攻撃も試みられていたものの、下流のcPanel侵害は1件も確認できていないと付け加えました。®
