Se detectó un gusano de npm de la familia Miasma que comprometió 42 repositorios de GitHub mediante el robo de credenciales y el uso de cargas útiles diseñadas para evadir escáneres. El malware se propaga automáticamente y utiliza ganchos para asistentes de IA y herramientas de desarrollo, incluyendo un sistema que borra datos si se revoca el token robado. Además, se vinculó esta campaña con el abuso de GitHub Actions para explotar vulnerabilidades en cPanel y WHM.

Un nuevo gusano de npm de la familia Miasma, originalmente se creía que era solo una prueba sin víctimas, armó secretamente 42 repositorios reales de GitHub de 11 propietarios, secuestrando cuentas desde julio y utilizando una carga útil sigilosa diseñada para permanecer oculta de GitHub y de los escáneres automatizados, según investigadores de JFrog.

Los cazadores de amenazas de SafeDep, una empresa de seguridad de la cadena de suministro de código abierto, detectaron por primera vez la campaña de npm “testmetest” aquí la semana pasada, identificando 18 paquetes vinculados al mismo operador entre el 19 y el 25 de octubre, incluyendo versiones que contenían malware de robo de credenciales. Al igual que con gusanos de npm anteriores, el malware se autoreplica, roba credenciales e instala un "wiper" (borrador) que elimina el directorio personal cuando la víctima revoca el token de GitHub robado, señalaron los investigadores de seguridad.

El nuevo gusano de npm comparte código con el gusano Miasma Phantom Gyp de junio aquí, y añade el borrador de revocación de tokens de Mini Shai-Hulud.


Sin embargo, hasta el 22 de octubre, SafeDep no había encontrado paquetes de terceros ni víctimas comprometidas. “Toda la actividad observada pertenece a las propias cuentas de prueba del operador”, escribió el equipo.


Como ocurre con la mayoría de las historias de seguridad con final feliz, resultó ser demasiado bueno para ser verdad.

En un informe del lunes, la empresa de seguridad de la cadena de suministro JFrog afirmó que su análisis demostró lo contrario, y encontró que el operador de la campaña testmetest “ya había armado repositorios reales pertenecientes a desarrolladores y organizaciones establecidas”.

Esto tampoco es solo una cuestión de tiempo, según los investigadores de JFrog, Guy Korolevski y Yair Benamou. “Los blobs de la carga útil eran lo suficientemente grandes como para evadir la búsqueda de GitHub y las rutas de la API que normalmente se utilizan para encontrar este tipo de compromiso”, escribieron.

Cómo funcionaron los ataques

Los atacantes plantaron ganchos de ejecución para asistentes de codificación de IA y herramientas de desarrollo, incluidos Claude, Gemini, Cursor y VS Code, junto con envoltorios polimórficos de entre 12,9 y 13,7 MB que decodifican una carga útil oculta del editor de CI. Por separado, el gusano de npm roba credenciales, modifica repositorios y configuraciones de CI, y se propaga a través de paquetes de npm.

El malware también utiliza un complemento nativo compilado para descifrar y lanzar una carga útil independiente. Antes de ejecutarse, el cargador verifica si hay ejecutores de CI, contenedores, sandboxes, depuradores y otros signos de análisis automatizado, saliendo silenciosamente cuando los detecta para reducir la probabilidad de detección por los escáneres de seguridad.

Los investigadores también encontraron una segunda compilación que omite el archivo cifrado. “Se bifurca, se desprende y ejecuta un comando hard-coded que extrae un cargador de un repositorio en la propia cuenta de GitHub del operador”, escribieron. Esa cuenta – CementBeetleSteeple – albergaba un total de 17 repositorios de la campaña.

JFrog conectó esta cuenta con un escáner shellpanel, documentado previamente aquí por Socket en una campaña a gran escala que abusó de GitHub Actions en repositorios comprometidos para explotar la vulnerabilidad CVE-2026-41940 y robar credenciales de servidor.


La CVE-2026-41940 es una omisión de autenticación que afecta a cPanel y WHM. CISA la añadió aquí a su catálogo de Vulnerabilidades Explotadas Conocidas en abril, y cPanel ha publicado desde entonces versiones parcheadas.

“La infraestructura C2 fue reportada previamente por Socket; nuestros hallazgos los conectan con el grupo de víctimas de GitHub de testmetest a través de artefactos y flujos de trabajo en los mismos propietarios secuestrados”, escribieron los investigadores de JFrog. Añadieron que, aunque encontraron 42 repositorios de GitHub armados e intentaron la explotación a nivel mundial, no confirmaron ningún compromiso de cPanel descendente.®

Fuente:
TheRegister