Червь Miasma представляет собой эволюцию угроз класса supply chain, эксплуатирующую не уязвимости платформ, а саму модель доверия к репозиториям. В отличие от классических инфостилеров, этот вредонос внедряется напрямую в исходный код популярных проектов Microsoft на GitHub через скомпрометированные учетные записи контрибьюторов.
Ключевая особенность последней волны — смена вектора атаки. Злоумышленники отошли от заражения реестра npm и внедрили 4,3-мегабайтный загрузчик непосредственно в коммиты. Теперь угроза активируется не при установке пакета, а в момент открытия папки проекта в современных инструментах разработки (IDE) или ИИ-агентах, таких как Claude Code, Gemini CLI или Cursor.
Вредоносная нагрузка обходит защитные механизмы StepSecurity’s Harden-Runner, собирая конфиденциальные данные с платформ AWS, Azure и Google Cloud. Извлеченная информация инкапсулируется в JSON-файлы внутри директории /tmp/ и маркируется специфическим идентификатором «Hades — The End for the Damned» перед отправкой на серверы злоумышленников. Для защиты требуется немедленная ротация всех токенов доступа и аудит логов сборки на предмет скрытых процессов.
GitHub заблокировал доступ к 73 репозиториям Microsoft из‑за атаки самораспространяющегося червя Miasma. Под удар попали важные проекты в четырёх организациях на платформе: Azure, Azure‑Samples, Microsoft и MicrosoftDocs. Среди заражённых — компоненты облачной платформы Azure, демо‑проекты для ИИ, документация и библиотеки экосистемы Durable Task, которыми пользуются тысячи разработчиков.