Hackers Abuse GitHub Actions to Backdoor AsyncAPI npm Packages With Miasma RAT
2026/07/21 CyberSecurityNews — サプライチェーン攻撃により、信頼されている AsyncAPI npm パッケージに Miasma マルウェアが混入し、開発者システムと自動ビルド環境がリスクにさらされている。この攻撃者は、侵害済のリリース・プロセスを悪用し、プロジェクトの正規 npm 名前空間を通じて悪意のコードを公開した。影響を受けたパッケージの到達範囲は、週あたり約 290 万ダウンロードであるが、ダウンロード数により感染が確認されるものではない。
これらのツールは、機密性の高い認証情報を保持していることが多く、開発ワークステーション／ドキュメント作成ジョブ／CI/CD パイプライン内で実行される可能性があるため、今回のキャンペーンは懸念される事態を引き起こしている。
Cato Networks は、サプライチェーン・インテリジェンス監視を通じて、このアクティビティを特定したと、 Cyber Security News (CSN) に共有したレポートで述べている。
同社の研究者たちは、信頼されたソフトウェア・リリース経路を悪用する攻撃者が、Miasma に関連付けられた Node.js ペイロードを配布していたことを発見した。
このインシデントが示すのは、有効なパッケージ名と公式の公開ワークフローだけでは、もはや信頼を確立するには不十分であることだ。
最近の侵害された GitHub Action インシデントで見られるように、自動化自体を標的とする攻撃者が、シークレットや下流プロジェクトへのアクセスを得ている。
ハッカーが GitHub Actions を悪用
この攻撃は、信頼されていないプルリクエスト・コンテンツと、特権を持つワークフロー・コンテキストとの相互作用を許す、脆弱な GitHub Actions コンフィグから始まった。
それにより攻撃者は、AsyncAPI の自動化 ID を取得／悪用し、不正なリポジトリ変更を加える経路を得た。
この悪意の変更は、プロジェクトのリリース・プロセスに紐付くブランチに配置され、通常の開発アクティビティに見えるよう設計されていた。
.webp)
その後に、想定される npm 名前空間から提供されたものとして、AsyncAPI 自身の自動化された公開により変更済みパッケージがリリースされた。したがって、それらは正規のものに見えた。
この手法により、今回のインシデントは単純なタイポスクワッティングとは異なるものになっている。タイポスクワッティングでは、攻撃者のアカウントの下で、類似名のパッケージが公開される。
また、この攻撃は、信頼されていないプルリクエスト・アクティビティに対する安全ではない取り扱いが、トークンやクラウド認証情報を露出させ得るという、GitHub Actions ワークフロー攻撃で繰り返されている問題とも重なる。
悪意のリリースは、@asyncapi/generator バージョン 3.3.1／@asyncapi/generator-helpers バージョン 1.1.1／@asyncapi/generator-components バージョン 0.7.1／@asyncapi/specs バージョン 6.11.2-alpha.1〜6.11.2 である。
リリースが露出していた期間中に、依存関係を自動的に復元していたチームは、影響を受けたコードをビルド環境へ取り込んだ可能性がある。
Miasma はステルス性の高い実行を使用
なお、注入された JavaScript は、ポストインストールのような一般的な npm ライフサイクル・スクリプトに依存するものではなく、影響を受けるモジュールが読み込まれた際に実行された。
そのため、このマルウェアは、インストール後に非アクティブな状態を維持しながら潜伏し、ビルド／アプリケーション実行／ドキュメント作成タスク／CI/CD ジョブなどが発生するときに実行される。
第 1 段階のコードは、独立した Node.js プロセスを起動し、IPFS (InterPlanetary File System) から暗号化された第 2 段階ペイロードをダウンロードした。
研究者たちによると、このペイロードはアクセスの維持／リモートコマンドの実行／ファイルの処理／自身の更新／攻撃者が制御するインフラとの通信が可能である。
このアプローチは、明白なインストール・フックを避けるという、npm 攻撃における広範なパターンに従っている。悪意の “binding.gyp” パッケージ・ファイルを含む以前のキャンペーンにおいても、標準パッケージ・スクリプトだけに焦点を当てたチェックの回避が試みられていた。
さらに Miasma は、コマンド＆コントロール・コンフィグのフォールバック・ソースとして、Ethereum contract を悪用していた。そこに含まれていたのは、代替エンドポイント／リレー情報／ブートストラップ・データなどである。
このインシデントで確認されたコンフィグの大半は、リモートアクセス・ツールとして振る舞うものであった。そのため研究者は、Miasma に関連する RAT と表現し、すべての影響を受ける環境で自動的に拡散するものとは捉えていない。
ユーザー組織にとって必要なことは、影響を受けるバージョンについて、マニフェスト／lockfile／キャッシュ／ビルドアーティファクトを確認し、その後、それらが読み込まれた／実行されたかどうかを判断することである。
さらにセキュリティ・チームは、名前が挙がっているペイロードの検索／アウトバウンド接続とリポジトリログの確認／アクセス可能な認証情報のローテーションなどを実施することで、pull_request_target を使用する特権ワークフローを厳格化すべきである。
侵害指標 (IOC)
注記：IP アドレスおよびドメインは、意図しない名前解決またはハイパーリンク化を防止するため、意図的に無害化されている。例えば、[.] が使用されている。再有効化は、MISP／VirusTotal／SIEM などの管理された脅威インテリジェンスプラットフォーム内でのみ実施すべきである。
開発環境における自動化機能の設定不備を突かれ、開発ライブラリである AsyncAPI のパッケージに悪質プログラムが混入させられる事態が発生しました。それにより Miasma RAT が配信され、正規の公開手順を経て提供されたコードの利用時に不正な処理が起動し、接続情報などの重要データが盗み取られる危険が生じています。このような事態を防ぐには、影響を受けるバージョンの使用状況を洗い出し、該当する場合はバージョン変更や関連する利用鍵の更新を急ぐことが重要です。自動処理の権限や参照元を改めて整理し、安全な配信手順を確保する必要があります。
IoT OT Security News 
You must be logged in to post a comment.