Verme Miasma Ataca LeoPlatform e Pacotes RStreams, Comprometendo a Cadeia de Suprimentos de Software
Uma nova onda de ataques de malware, incluindo as famílias Shai-Hulud, Miasma e Hades, foi descoberta. Os atacantes comprometeram uma conta npm da LeoPlatform, publicando versões maliciosas de pacotes essenciais e afetando projetos de blockchain.
MundiX News·01 de julho de 2026·7 min de leitura·👁 1 views
No final da semana passada, pesquisadores descobriram uma nova onda de ataques envolvendo malware das famílias Shai-Hulud, Miasma e Hades. Tudo começou quando os invasores violaram a conta npm de um mantenedor da LeoPlatform, publicando posteriormente versões maliciosas de 20 pacotes nas ecossistemas LeoPlatform e RStreams, além de comprometer o projeto de blockchain Verana.
De acordo com especialistas das empresas Socket, StepSecurity, JFrog e SafeDep, o ataque teve início em 24 de junho de 2026, com a comprometimento da conta czirker, associada à LeoPlatform. Presume-se que os hackers utilizaram credenciais vazadas e conseguiram obter um token npm. Em seguida, em poucos segundos, eles carregaram todas as versões maliciosas com a ajuda desse token. Como resultado, pacotes como leo-auth, leo-aws, leo-cli, leo-sdk, leo-streams, serverless-leo, rstreams-metrics e outros estiveram entre os afetados.
Analistas observam que, diferentemente das versões anteriores do Miasma, a nova onda de ataques alterou o método de execução do malware: as versões maliciosas não utilizam mais os lifecycle hooks no package.json. Em vez disso, o código é executado durante a instalação através do arquivo binding.gyp. O loader verifica o sistema e baixa o runtime Bun (se não estiver presente), após o que inicia o stealer. É provável que o uso do Bun em vez do Node.js ajude o malware a permanecer despercebido.
O malware rouba credenciais da AWS, Azure e Google Cloud, tokens do GitHub e npm, segredos do Kubernetes, dados do HashiCorp Vault e 1Password. Além disso, o malware coleta arquivos de configuração de IDEs e assistentes de IA para programação e tenta se estabelecer no sistema através de seus hooks. O malware não é ativado se uma localidade russa for detectada no sistema.
Para roubar segredos de ambientes de CI/CD, o malware cria um workflow com o nome Run Copilot e extrai dados da memória do runner do GitHub Actions. As informações coletadas são então criptografadas e carregadas em um repositório público do GitHub criado através da conta da vítima. Esses repositórios possuem a descrição "Alright Lets See If This Works", e pesquisadores relataram ter encontrado mais de 500 ocorrências com essa descrição.
No entanto, o ataque não termina após o roubo de dados. Utilizando os tokens roubados, o Miasma busca publicar versões infectadas de todos os pacotes aos quais a vítima tem acesso. Isso confere ao malware capacidades de worm, permite contornar a autenticação de dois fatores do npm e transforma a infecção em um ataque auto-propagável à cadeia de suprimentos.
De acordo com informações de especialistas da StepSecurity, a comprometimento do GitHub Action codfish/semantic-release-action também pode estar ligada a esta campanha maliciosa. Em 24 de junho de 2026, os atacantes executaram um force push de um commit malicioso no repositório e redirecionaram vários tags de versão para ele. Ao executar um workflow com um dos tags comprometidos, o malware era executado dentro do runner do GitHub Actions e roubava o GitHub OIDC e o Personal Access Token. Após isso, o malware tentava introduzir um backdoor em outros repositórios acessíveis.
Pesquisadores da Socket também descobriram uma payload do Miasma em um arquivo de módulo Go github.com/verana-labs/verana-blockchain@v0.10.1-dev.20, associado ao projeto de criptomoeda Verana Blockchain. Diferentemente dos pacotes npm infectados, este exemplo não utilizava binding.gyp, e o download ou compilação normal do módulo Go não executava o código malicioso.
Neste caso, o malware estava oculto nos arquivos de configuração do repositório de origem, e o gatilho era uma tarefa do VS Code que era acionada ao abrir a pasta do projeto e executava node .claude/setup.mjs.
Especialistas em segurança da Microsoft, que também estudaram esses ataques, recomendaram considerar como comprometidas todas as máquinas de desenvolvedores e ambientes de CI onde as versões infectadas dos pacotes foram instaladas. Antes de alterar as credenciais, os especialistas aconselham a remover os pacotes maliciosos dos arquivos de lock, espelhos internos, caches de build, imagens de contêineres e runners.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
No final da semana passada, pesquisadores descobriram uma nova onda de ataques envolvendo malware das famílias Shai-Hulud, Miasma e Hades. Tudo começou quando os invasores violaram a conta npm de um mantenedor da LeoPlatform, publicando posteriormente versões maliciosas de 20 pacotes nas ecossistemas LeoPlatform e RStreams, além de comprometer o projeto de blockchain Verana.
De acordo com especialistas das empresas Socket, StepSecurity, JFrog e SafeDep, o ataque teve início em 24 de junho de 2026, com a comprometimento da conta czirker, associada à LeoPlatform. Presume-se que os hackers utilizaram credenciais vazadas e conseguiram obter um token npm. Em seguida, em poucos segundos, eles carregaram todas as versões maliciosas com a ajuda desse token. Como resultado, pacotes como leo-auth, leo-aws, leo-cli, leo-sdk, leo-streams, serverless-leo, rstreams-metrics e outros estiveram entre os afetados.
Analistas observam que, diferentemente das versões anteriores do Miasma, a nova onda de ataques alterou o método de execução do malware: as versões maliciosas não utilizam mais os lifecycle hooks no package.json. Em vez disso, o código é executado durante a instalação através do arquivo binding.gyp. O loader verifica o sistema e baixa o runtime Bun (se não estiver presente), após o que inicia o stealer. É provável que o uso do Bun em vez do Node.js ajude o malware a permanecer despercebido.
O malware rouba credenciais da AWS, Azure e Google Cloud, tokens do GitHub e npm, segredos do Kubernetes, dados do HashiCorp Vault e 1Password. Além disso, o malware coleta arquivos de configuração de IDEs e assistentes de IA para programação e tenta se estabelecer no sistema através de seus hooks. O malware não é ativado se uma localidade russa for detectada no sistema.
Para roubar segredos de ambientes de CI/CD, o malware cria um workflow com o nome Run Copilot e extrai dados da memória do runner do GitHub Actions. As informações coletadas são então criptografadas e carregadas em um repositório público do GitHub criado através da conta da vítima. Esses repositórios possuem a descrição "Alright Lets See If This Works", e pesquisadores relataram ter encontrado mais de 500 ocorrências com essa descrição.
No entanto, o ataque não termina após o roubo de dados. Utilizando os tokens roubados, o Miasma busca publicar versões infectadas de todos os pacotes aos quais a vítima tem acesso. Isso confere ao malware capacidades de worm, permite contornar a autenticação de dois fatores do npm e transforma a infecção em um ataque auto-propagável à cadeia de suprimentos.
De acordo com informações de especialistas da StepSecurity, a comprometimento do GitHub Action codfish/semantic-release-action também pode estar ligada a esta campanha maliciosa. Em 24 de junho de 2026, os atacantes executaram um force push de um commit malicioso no repositório e redirecionaram vários tags de versão para ele. Ao executar um workflow com um dos tags comprometidos, o malware era executado dentro do runner do GitHub Actions e roubava o GitHub OIDC e o Personal Access Token. Após isso, o malware tentava introduzir um backdoor em outros repositórios acessíveis.
Pesquisadores da Socket também descobriram uma payload do Miasma em um arquivo de módulo Go github.com/verana-labs/verana-blockchain@v0.10.1-dev.20, associado ao projeto de criptomoeda Verana Blockchain. Diferentemente dos pacotes npm infectados, este exemplo não utilizava binding.gyp, e o download ou compilação normal do módulo Go não executava o código malicioso.
Neste caso, o malware estava oculto nos arquivos de configuração do repositório de origem, e o gatilho era uma tarefa do VS Code que era acionada ao abrir a pasta do projeto e executava node .claude/setup.mjs.
Especialistas em segurança da Microsoft, que também estudaram esses ataques, recomendaram considerar como comprometidas todas as máquinas de desenvolvedores e ambientes de CI onde as versões infectadas dos pacotes foram instaladas. Antes de alterar as credenciais, os especialistas aconselham a remover os pacotes maliciosos dos arquivos de lock, espelhos internos, caches de build, imagens de contêineres e runners.
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
