У рамках масштабної кампанії з компрометації ланцюжків постачання, відомої під назвою Miasma, зловмисники успішно атакували офіційні сховища коду корпорації Microsoft на платформі GitHub. Цей шкідливий хробак є унікальним через свою здатність до саморозмноження, що дозволяє йому швидко поширюватися між різними проектами. За даними аналітиків безпеки, атака безпосередньо торкнулася десятків критично важливих проєктів, що викликало серйозне занепокоєння у спільноті розробників програмного забезпечення.
Інцидент торкнувся щонайменше 73 репозиторіїв Microsoft, які були розміщені в межах чотирьох основних організацій компанії на GitHub. Серед них опинилися такі важливі сектори, як Azure, Azure-Samples, загальний простір Microsoft та документація MicrosoftDocs. Про це першими повідомили фахівці з безпеки проєкту OpenSourceMalware. У відповідь на виявлену загрозу адміністрація GitHub оперативно заблокувала доступ до всіх скомпрометованих репозиторіїв, щоб запобігти подальшому витоку шкідливого коду.
Хробак Miasma діє шляхом автоматичного впровадження шкідливого коду у файли проєктів, після чого він намагається використати облікові дані розробників для публікації оновлень або створення нових залежностей. Це створює ефект доміно, коли один заражений пакет інфікує всі пов'язані системи. Оскільки розробники часто довіряють офіційним сховищам великих корпорацій на кшталт Microsoft, подібні атаки мають надзвичайно високу ймовірність успіху, адже кінцеві користувачі завантажують код без додаткових перевірок.
Для мінімізації ризиків розробникам та системним адміністраторам рекомендується терміново перевірити свої залежності на наявність підозрілих оновлень, випущених останнім часом. Важливо впровадити суворі правила перевірки коду, використовувати двофакторну автентифікацію для всіх облікових записів розробників та налаштувати автоматичний моніторинг цілісності пакетів. Також варто тимчасово утриматися від автоматичного оновлення бібліотек із зовнішніх джерел, доки ситуація з безпекою навколо постраждалих сховищ не буде повністю стабілізована.