MiasmaワームのソースコードがGitHub上にリークされる

MiasmaワームのソースコードがGitHub上にリークされる

The Register – Tue 09 Jun 2026、BleepingComputer – June 10, 2026

サプライチェーンワーム「Miasma」の攻撃用ツールキット全体が、何者かによって一時的にオープンソース化されていたとの報道。このアクターはすでに侵害済みの開発者アカウント数件を使い、Miasmaのソースコードを含むGitHubリポジトリを複数公開していたという。

Miasmaは、5月半ばにオープンソース化されたサプライチェーンワーム「Shai-Hulud」の進化形の1つとみられており、両者の多くの機能・技術・コードは共通している。これらのマルウェアは開発者マシンに感染すると、ビルド環境・クラウドの認証情報を盗み、盗んだ情報を使って正規リポジトリおよびパッケージを侵害。トロイの木馬化されたバージョンを公開してさらに下流の開発者へと感染を広げる、というサイクルを繰り返すことが知られている。

オープンソースサプライチェーンセキュリティ企業のSafeDepは、Miasmaのコードを含む「Miasma-Open-Source-Release」と名付けられた悪意あるリポジトリが6月8日頃から出現し始めたのを観測。うち1件のリポジトリを分析した結果、コードが「単なるサプライチェーンワーム以上」のものだったと説明している。SafeDepによれば、今回公開されたのは「サプライチェーン攻撃用の包括的なツールキット」であり、これを使えば、盗難認証情報を通じて公開レジストリ（PyPI、npm、RubyGems）、JFrog Artifactory、GitHubリポジトリおよびGitHub Actions上の任意のパッケージに対してさまざまな攻撃を実行できるようになるという。

Miasmaや別のShai-Hulud亜種であるMini Shai-Huludなどのワームの興味深い点は、リモートコード実行やデータ抜き取りといった攻撃の全工程をGitHub内で完結でき、カスタムのC2インフラを必要としない点だという。SafeDepは「これは重要な行動パターンの変化」であると指摘。その理由として、従来のネットワークベースの検知・保護ツールがベースライン設定と異常検知に依存するものである点を挙げた。このため防御側としては、ネットワークベースの異常ではなく行動上の異常を特定できるよう、アプリケーションプロトコルにより密接に関わった運用を行うことが求められるようになっている。

Miasmaのコードを含むリポジトリはすでにGitHubにより削除されており、Wizによれば攻撃に利用された形跡はないとされる。今回ソースコードをオープンソース化したのが何者だったのかはわかっていないとのこと。

GitHub、npmにおけるセキュリティ上の変更点を発表　サプライチェーン攻撃に対抗

BleepingComputer – June 10, 2026

GitHubは6月9日、「npm install」コマンドによってトリガーされる挙動を悪用したサプライチェーン攻撃を防止するための変更を、7月リリース予定のnpm v12に加える予定である旨を発表した。

npm installは、プロジェクトの依存関係をダウンロードしてインストールし、パッケージで定義されたインストール関連のスクリプトを実行するために使用されるコマンド。現在同コマンドの実行中に自動的にトリガーされるコード実行やレジストリ外の依存関係ソースについて、デフォルトで信頼されるのではなく、今後は明示的な承認が必要になるという点が、npm v12における変更の主眼だという。

具体的には、以下3つの変更が予定されている。

• v12以降、npm installは、明示的に承認されていない限り、依存関係に含まれる preinstall、install、postinstallスクリプトを実行しなくなる
• 明示的に許可されない限り、npm installは、直接的な依存関係であれ推移的な依存関係であれ、Gitリポジトリから依存関係を取得しなくなる
• HTTPS形式のtarballなど、リモートURLからインストールされる依存関係は、明示的に許可されない限り解決されなくなる

これらの変更により、依存関係インストールスクリプトの自動実行、Gitベースの依存関係の自動解決、およびリモートURL依存関係の自動解決が困難になるため、サプライチェーン攻撃を大幅に削減できることが期待されている。

一方で、正当なワークフローにおいてこれらの動作のいずれかに依存しているプロジェクトは、npm v12へのアップグレード前に明示的なオプトインを行う必要がある。アップグレード後は、明示的に承認されたスクリプトと依存関係ソースのみが自動的に機能し続けるとのこと。