Microsoft warnt Kunden vor gestohlenen GitHub-Credentials Miasma-Wurm befällt 73 Microsoft-Repositories und stiehlt KI-Logindaten

Anbieter zum Thema

Aagon GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Der Miasma-Wurm infiziert über ein gehacktes Entwicklerkonto 73 Microsoft-Repositories von KI-Coding-Tool auf GitHub. Der Schadcode aktiviert sich automatisch, sobald ein betroffenes Repository geöffnet wird und stiehlt GitHub-Credentials sowie Cloud-Zugangsdaten. Microsoft sperrt die Repositories, informiert betroffene Kunden und untersucht das Ausmaß.

Ein selbstreplizierender Schädling mit dem Namen Miasma hat Anfang Juni 2026 mehrere dutzend Open-Source-Projekte von Microsoft auf GitHub befallen. Die Sicherheitsfirma Cloudsmith dokumentiert den Verlauf und ordnet die Technik ein. Microsoft hat die betroffenen Repositories vom Netz genommen und eine interne Untersuchung gestartet. Im Kern stahl der Schadcode Anmeldedaten von Entwicklern, sobald diese ein manipuliertes Tool in einer KI-Coding-Anwendung öffneten.

Mini Shai-Hulud startet Schadcode bei jedem Python-Aufruf

Supply-Chain-Worm Miasma stiehlt Cloud-Zugangsdaten über PyPI

Der Angriff breitet sich von Red Hat auf Microsoft aus

Die Miasma-Kampagne stammt von der Angreifergruppe TeamPCP und gilt als Weiterentwicklung des Wurms Mini Shai-Hulud. Der Einstieg gelang über ein gekapertes GitHub-Konto eines Red-Hat-Mitarbeiters im Namespace @redhat-cloud-services. Über ungeprüfte Orphan-Commits schleusten die Täter einen Workflow ein, der OIDC-Token von GitHub anforderte. Ein obfuskierter Payload veröffentlichte daraufhin 32 manipulierte Paketversionen in der npm-Registry. Da die Token gültig waren, erhielten die Schadpakete korrekte SLSA-Provenance-Attestierungen. Für gängige Registry-Scanner glichen die Updates damit regulären Aktualisierungen.

Danach verlagerte sich der Angriff direkt auf Quell-Repositories. Den npm-Umweg ließen die Angreifer bei mehreren Zielen weg und legten den Payload-Runner unmittelbar in öffentliche Repos ab, darunter icflorescu/mantine-datatable. Der Dropper startet automatisch, sobald ein Entwickler ein infiziertes Repository klont und in einem KI-Coding-Tool öffnet. Betroffen sind Claude Code, Gemini CLI, VS Code und Cursor. Bei Microsoft erreichte der Schädling 73 Repositories, darunter Azure/azure-functions-host und das gesamte Umfeld von durabletask mit Implementierungen für .NET, Go, Java, JavaScript, MSSQL und Python. GitrHub sperrte die betroffenen Repositories.

Das durabletask-Paket auf PyPI war bereits einen Monat zuvor von TeamPCP getroffen worden. Der erneute Vollzugriff auf dasselbe Ökosystem deutet darauf hin, dass die im Mai genutzten Zugangsdaten nie vollständig rotiert wurden.

Mini-Shai-Hulud-Kampagne zielt auf AntV-npm-Pakete

Schadcode stiehlt CI/CD-Secrets aus GitHub und npm

Gültige Signaturen täuschen die Scanner

Der Angriff nutzt keine Software-Lücke in GitHub oder npm aus. Er zielt auf das Vertrauensmodell der Lieferkette. Kompromittierte Entwickler-Zugangsdaten führten zu einem legitimen OIDC-Token, der wiederum einen Build mit gültiger SLSA-Provenance erzeugte. Konventionelle Scanner werteten das Ergebnis als vertrauenswürdiges Update. Mit gestohlenen Maintainer-Credentials agierte der Wurm exakt im Rahmen der Rechte eines berechtigten Publishers.

Jede Infektion erzeugt einen eigens verschlüsselten Payload. Hash-basierte Indikatoren laufen damit ins Leere, denn die Dateisignatur ändert sich mit jeder Paketversion. Neuere Varianten zielen auf Cloud-Identitäten in Google Cloud und Azure und sammeln alle Zugangsdaten ein, auf die der infizierte Rechner und die CI/CD-Runner Zugriff haben. Damit verlagern die Täter den Angriff von der Codebasis direkt in produktive Cloud-Umgebungen.

Analyse von Sysdig

So werden Self-hosted GitHub Actions Runner als Backdoors missbraucht

Microsoft informiert ausgewählte Kunden

Microsoft bestätigte gegenüber TechCrunch die Sperrung der Repositories. Sprecher Ben Hope erklärte, das Unternehmen habe einige Repositories vorübergehend entfernt, um mögliche Schadinhalte zu prüfen. Ein Teil der Projekte steht nach der Prüfung wieder bereit, andere bleiben vorerst offline. Im Zuge der Untersuchung benachrichtigte Microsoft eine kleine Zahl von Kunden, die möglicherweise Inhalte aus den betroffenen Repositories geladen haben. Über die regulären Supportkanäle will das Unternehmen direkt auf Kunden zugehen, sobald weitere Maßnahmen nötig werden. Wie viele Anwender betroffen sind, nennt Microsoft nicht.

Der Vorfall ist bereits der zweite bekannte Einbruch in Microsofts Open-Source-Projekte binnen weniger Wochen. Mitte Mai meldeten Sicherheitsforscher einen Angriff auf das Projekt Durable Task. OpenSourceMalware stuft den aktuellen Fall als erneute Kompromittierung desselben Projekts ein.

Von Infostealer-Infektion bis Cloud-Übernahme in wenigen Schritten

Megalodon kompromittiert 5.561 GitHub-Repositories in sechs Stunden

Zugangsdaten rotieren und Abhängigkeiten kontrollieren

Unternehmen im Azure- oder Red-Hat-Umfeld sollten den Vorfall als aktiven Sicherheitsfall behandeln. Cloudsmith empfiehlt, sämtliche Secrets auf potenziell betroffenen Maschinen und Pipelines als kompromittiert zu betrachten und zu rotieren. Dazu zählen GitHub Personal Access Token, SSH-Schlüssel, Signaturschlüssel und Umgebungsvariablen der CI/CD-Strecke sowie Cloud-Zugangsdaten für Azure und Google Cloud.

Ein Audit der Entwicklungsumgebungen deckt unautorisierte Aktivitäten auf. Administratoren prüfen lokale Arbeitsstationen und Build-Systeme auf unbekannte Repositories unter der eigenen Organisation und auf unerwartete Hintergrundprozesse aus VS Code oder den genannten KI-CLIs. Für künftige Builds sorgen explizite Allowlists für Abhängigkeiten und strenge SBOMs für Transparenz darüber, welche Pakete in die Build-Streams gelangen.

Die Lage entwickelt sich weiter. Nach Angaben von SafeDep ist der Miasma-Code inzwischen öffentlich verfügbar, was die Zahl der Nachahmer-Repositories erhöht. Forscher von Socket meldeten zusätzlich 37 schädliche PyPI-Wheels aus dem Umfeld von Mini Shai-Hulud, Miasma und Hades. Eine neuere Loader-Variante durchsucht die Python-Modulsuche (sys.path) nach der Datei _index.js und startet sie über Bun. Ein gefälschter Prompt-Injection-Header im Code soll KI-gestützte Analysewerkzeuge stören. Strikte Admission-Control-Policies und ein Artifact-Management-Layer fangen verdächtige Pakete ab, bevor sie den Entwickler-Rechner oder die Produktions-Pipeline erreichen.

Update: mini Shai-Hulud breitet sich weiter aus

Supply Chain Angriff auf SAP CAP durch bösartige npm-Pakete

(ID:50868924)