Een infostealer heeft tientallen repositories op GitHub aangetast, wat het opensourceplatform tot drastische maatregelen aanspoorde.
Verschillende GitHub-repositories waren vrijdagavond plotseling verdwenen, meldden verbaasde ontwikkelaars op het supportforum van moederbedrijf Microsoft. Wat GitHub eerst als ‘interne beheerproblemen’ verklaarde, bleek uiteindelijk een grootschalige malware-aanval te zijn. 73 repositories moesten offline worden gehaald om verdere verspreiding tegen te gaan.
Miasma
Het boosaardige beestje bleek een variant van Miasma te zijn, een infostealerworm die schadelijke code uitvoert wanneer je bestanden draait in een ontwikkelingsomgeving of AI-codeerplatform. De worm werd voor het eerst opgemerkt in verschillende Azure-repositories. Uit voorzorg werden die zo snel mogelijk offline gehaald en CI/CD-pijplijnen opgeblazen.
Dat is geen toeval, want de Miasma-worm en varianten zijn onlangs meermaals opgedoken in gelijkaardige aanvalscampagnes op Azure- en opensourceomgevingen. De worm zou het werk zijn van de hackersgroepering TeamPCP, de groepering die GitHub eerder in mei al bestookte. Maar omdat de code openlijk beschikbaar is, is het onmogelijk te zeggen of de groep ook achter deze aanval zit.
Aanvallen op opensource
Opensourceplatformen zijn een geliefkoosd target, want nog maar vorige week was het prijs voor Red Hat. 80.000 gebruikers zouden geïnfecteerde pakketten hebben gedownload. De daders mikken daarbij op snelle verspreiding van publiek beschikbare code.
GitHub moest dan ook snel ingrijpen. In minder dan twee minuten gingen 73 geïnfecteerde repositories tijdelijk offline. Het opensourceplatform werd ook zelf het doelwit van een hack, waarbij 3.800 interne repositories zijn gestolen. Daarbij werden geen omgevingen van klanten geraakt, zegt GitHub. In april loste het een kwetsbaarheid op die miljoenen repositories blootstelde.