Атака червя Miasma на репозитории Microsoft: как защитить CI/CD и проверить зависимости

Miasma на GitHub: как червь проник в репозитории Microsoft и что проверять в своих зависимостях

Для бэкенда и DevOps это не «ещё одна новость из мира вирусов» — это инцидент в цепочке поставок, который затрагивает npm- и Git-пайплайны напрямую.

Что известно из подтверждённых источников

Согласно имеющимся сообщениям, атака затронула именно GitHub-репозитории Microsoft: речь идёт о более чем 70 проектах, которые были заблокированы или отключены. Вредоносный код характеризуется источниками как инструмент кражи паролей. Название «Miasma» и формулировка «червь» указывают на самовоспроизводящийся механизм распространения — то есть это не единичный коммит в одном репо, а сценарий, при котором заражённый узел пытается инфицировать соседние.

Формулировки источников осторожные: «сообщается», «по данным», без деталей по конкретным репозиториям, версиям пакетов и временным меткам. В таком режиме корректно работать с инцидентом — сначала свериться с advisory, потом действовать.

Почему это касается вашего бэкенда

Если ваш конвейер сборки тянет зависимости из GitHub Actions Marketplace, форкнутых репозиториев или внутренних зеркал, которые синхронизируются с upstream Microsoft — вы потенциально находитесь в зоне риска. Червь такого типа, как правило, эксплуатирует доверенные токены и workflow-файлы, а не публичные уязвимости в коде приложения.

Практически это означает три вещи. Первое — проверить, не используете ли вы Actions или пакеты из репозиториев, которые фигурируют в списке затронутых; конкретный перечень репо в публичных источниках не приводится, поэтому ориентируйтесь на официальные advisory Microsoft и GitHub. Второе — ревизия .github/workflows/ на предмет незнакомых шагов, curl | sh и pip install из произвольных URL, особенно в шагах с pull_request_target или workflow_run. Третье — ротация секретов: если runner имел доступ к GITHUB_TOKEN, NPM_TOKEN или приватным registry-ключам, считайте их скомпрометированными до публикации официального опровержения.

Что сделать прямо сейчас

Далее — включить require-approval для запуска Actions от внешних контрибьюторов, запретить pull_request_target с checkout чужих веток и вынести долгоживущие секреты в environment с manual approval. В IaC — зафиксировать версии actions по SHA, а не по тегу: это стандартная рекомендация, но именно в таких инцидентах она перестаёт быть гигиеной и становится необходимостью.

Что отслеживать

Ключевой сигнал — публикация официального security advisory от GitHub и Microsoft с перечнем конкретных репозиториев, хешей коммитов и затронутых версий пакетов. До этого момента любые сводки с точными числами и именами — спекуляция. Стоит также следить за активностью вокруг имени Miasma в issue-трекерах: если червь самовоспроизводящийся, первые IoC появятся в open-source детектах в течение суток.