Miasma Worm atinge 73 repositórios do Microsoft GitHub, mirando desenvolvedores com ferramentas de codificação com IA

O worm de cadeia de suprimentos Miasma atingiu a infraestrutura GitHub da Microsoft em 5 de junho de 2026, comprometendo 73 repositórios em quatro organizações do GitHub da Microsoft — Azure, Azure-Samples, Microsoft e MicrosoftDocs — antes que os sistemas automatizados de detecção do GitHub desativassem os repositórios afetados em aproximadamente 105 segundos. O incidente é o mais recente de uma campanha contínua do Miasma que, em seis semanas, já atingiu pacotes PyPI, pacotes npm da Red Hat e a própria infraestrutura de repositórios open-source da Microsoft, conforme relatado pelo The Hacker News e pela empresa de segurança StepSecurity.

O vetor de ataque foi um commit malicioso enviado ao repositório Azure/durabletask usando uma conta de contribuidor previamente comprometida. O commit introduziu arquivos de configuração especificamente projetados para executar um payload de roubo de credenciais quando um desenvolvedor abre o repositório em ferramentas de codificação com IA — incluindo Claude Code, Gemini CLI, Cursor e VS Code com certas extensões de IA. Uma vez acionado, o payload rouba credenciais de autenticação para AWS, Azure, Google Cloud, Kubernetes, npm e GitHub, e então usa essas credenciais para propagar o worm para outros repositórios acessíveis a partir das contas comprometidas.

O repositório durabletask no centro

O repositório Azure/durabletask é significativo por ser a raiz do ecossistema Durable Task Framework da Microsoft — uma biblioteca de orquestração amplamente usada para construir workflows confiáveis e stateful em .NET, Go, JavaScript e outros runtimes. O Azure Functions, um importante serviço de nuvem da Microsoft, depende desse ecossistema. O pesquisador de segurança Paul McCarty, conhecido pelo handle 6mile, destacou a amplitude da cascata: não apenas o repositório raiz Azure/durabletask foi desativado, mas todos os repositórios irmãos do ecossistema Durable Task também foram tirados do ar, incluindo durabletask-dotnet, durabletask-go, durabletask-js, durabletask-mssql e o monitor Durable Functions.

O mesmo pacote durabletask no PyPI foi comprometido pelo TeamPCP em um ataque separado em 19 de maio de 2026, que infectou o pacote com um stealer de informações voltado para sistemas Linux. A reutilização do mesmo repositório como vetor de reinfecção um mês depois sugere que o TeamPCP fez reconhecimento específico do ecossistema, identificando durabletask como um hub de propagação de alto valor com ampla exposição downstream de instalação.

A campanha Miasma

Miasma é uma variante do worm Mini Shai-Hulud originalmente desenvolvido pelo grupo de ameaças TeamPCP. A campanha passou por três ondas distintas em 2026:

Em 1º de junho, o Miasma infectou 32 pacotes npm da Red Hat em uma campanha de roubo de credenciais documentada pela Wiz e pela SOC Prime. Em 19 de maio, a mesma conta de contribuidor comprometida infectou o pacote durabletask do PyPI com um stealer de informações para Linux. Em 5 de junho, o worm atingiu os repositórios GitHub da Microsoft, expandindo o alcance da campanha para um dos ecossistemas open-source empresariais mais usados do mundo.

O que diferencia o Miasma de ataques convencionais à cadeia de suprimentos é seu mecanismo autorreplicante: em vez de exigir que o ator da ameaça comprometa manualmente cada alvo, o worm usa credenciais roubadas de uma vítima para identificar e infectar repositórios adicionais. A propagação ocorre automaticamente, e é por isso que a janela de resposta de 105 segundos do GitHub — embora rápida — ainda resultou em 73 repositórios comprometidos antes da contenção.

A superfície de ataque das ferramentas de codificação com IA

O uso de arquivos de configuração de ferramentas de codificação com IA como gatilho do payload é uma evolução notável na técnica de ataque à cadeia de suprimentos. Quando desenvolvedores abrem um repositório no Claude Code, Cursor, Gemini CLI ou ferramentas similares, essas ferramentas geralmente leem automaticamente arquivos de configuração do repositório para configurar contexto — prompts específicos do projeto, configurações de ferramenta ou variáveis de ambiente. Os commits maliciosos do Miasma inseriam arquivos de configuração que abusam desse contexto de execução confiável para executar o payload de roubo de credenciais sem interação explícita do desenvolvedor. O desenvolvedor simplesmente abre o repositório e o payload é executado antes que ele veja qualquer código.

Essa técnica é eficaz justamente porque as ferramentas de codificação com IA são projetadas para ser úteis e proativas — elas leem arquivos de configuração do repositório para melhor atender o desenvolvedor, e esse comportamento se torna um mecanismo de entrega quando um repositório é comprometido. Desenvolvedores que abriram qualquer um dos 73 repositórios afetados da Microsoft em um ambiente de codificação assistido por IA entre o momento do commit e a janela de contenção do GitHub devem auditar suas credenciais na nuvem e rotacionar quaisquer tokens ou segredos que possam ter estado acessíveis na máquina de desenvolvimento.

Ações imediatas

Para desenvolvedores que trabalharam com qualquer um dos repositórios afetados em 5 de junho: rotacione todas as credenciais na nuvem (AWS, Azure, GCP, service accounts do Kubernetes), revogue e gere novamente tokens de acesso npm e verifique tokens de acesso pessoal do GitHub quanto a atividade não autorizada. Para organizações que dependem do Durable Task Framework: verifique se quaisquer pacotes instalados da janela de 5 de junho correspondem aos checksums esperados e monitore conexões de saída incomuns dos sistemas de build.

A lição mais ampla da trajetória do Miasma é que as ferramentas de codificação com IA introduziram uma nova superfície de ataque na cadeia de suprimentos de software que a comunidade de segurança ainda está mapeando. Arquivos de configuração de repositório que são executados automaticamente em contextos confiáveis de ferramentas são um vetor que precisa de políticas de segurança explícitas — tanto no nível da ferramenta (verificação antes de executar configuração remota) quanto no nível organizacional (monitoramento de arquivos de configuração inesperados em repositórios confiáveis).