Una nuova ondata di attacchi alla supply chain software sta colpendo gli sviluppatori tramite pacchetti npm compromessi e abuso di GitHub Actions, con un’espansione che tocca anche l’ecosistema Go. La campagna è associata al malware Miasma, una variante collegata a una famiglia già nota per puntare alle credenziali di maintainer e per sfruttare i flussi di lavoro considerati affidabili nelle pipeline CI/CD.
Gli attaccanti hanno pubblicato versioni trojanizzate di numerosi pacchetti npm legati a componenti usati in contesti cloud-native e serverless, inclusi moduli della linea Leo e RStreams, oltre ad altri pacchetti di utilità. In parallelo è stato segnalato anche un modulo Go collegato a un progetto blockchain, segno che l’obiettivo non è solo il package manager ma l’intero ciclo di sviluppo, dal repository al runner di automazione.
Il meccanismo di infezione osservato nei pacchetti npm è particolarmente insidioso perché non dipende necessariamente dai classici lifecycle hook in package.json. Invece viene introdotto un file binding.gyp che consente l’esecuzione di codice in fase di installazione. Questo avvia un loader JavaScript che verifica la presenza del runtime Bun e, se assente, lo installa per poi eseguire il payload di furto dati. Il malware mira a sottrarre token, credenziali e segreti, includendo elementi utili a propagarsi verso altri repository e registri.
Un altro tassello critico riguarda GitHub Actions. La campagna include tecniche di furto di segreti dalla memoria del runner e l’uso di workflow malevoli, con esfiltrazione cifrata dei dati raccolti. Sono stati osservati indicatori e stringhe usate come marker e come meccanismo di dead drop su GitHub, aggiornati nel tempo per ridurre l’efficacia delle rilevazioni basate su firme statiche.
Nel caso del repository Go compromesso, il rischio principale è l’esecuzione lato sorgente. Un developer che clona o apre il progetto in un IDE fidato o in un assistente di coding basato su AI può innescare il payload tramite configurazioni del progetto, confermando che Miasma punta ai workflow degli sviluppatori più che ai soli hook di installazione.