AsyncAPI Kötü Amaçlı Yazılımı GitHub, npm, Cloud ve AI API Kimlik Bilgilerini Çalmak için Modüller İçerir

Tehlikeli bir tedarik zinciri saldırısı, npm kayıt defterindeki AsyncAPI projesini vurdu ve geliştiricileri ve otomatik yapı sistemlerini riske attı. Saldırganlar 14 Temmuz 2026 'da yaklaşık doksan dakika içinde beş paket versiyonunu yeniden yayınladı. Her sürüm, kod içe aktarılır aktarılmaz çalışan aynı gizli yükleyiciyi taşıyordu. Kötü amaçlı yazılım, birçok ekibin zaten engellediği normal yükleme komut dosyalarına dayanmaz. Bunun yerine, herhangi bir uygulama veya yapı aleti zehirli modülü yüklediğinde hayata geçer. Bu tasarım, yoksayma komut dosyaları adı verilen ortak bir güvenlik ayarının bu tehdide karşı gerçek bir koruma sağlamadığı anlamına gelir. Microsoft analistleri kampanyayı belirledi ve zayıf bir GitHub Eylemleri iş akışının kapıyı nasıl açtığını izledi. Microsoft, Siber Güvenlik Haberleri (CSN) ile paylaştığı bir raporda, ikinci aşamanın Miasma adı verilen modüler bir çalışma zamanı sağladığını söyledi. Bu çerçeve uzak sunucularla konuşabilir, makinede kalabilir ve modülleri kimlik bilgilerini çalmaya hazır tutabilir. Uçtan uca saldırı zinciri (Kaynak – Microsoft)

@ asyncapi/specs diğer birçok AsyncAPI aracının altında bulunduğundan, patlama yarıçapı geliştirici dizüstü bilgisayarlara, CI boru hatlarına, kapsayıcılara ve hatta bazı üretim hizmetlerine ulaştı. Kısa pozlama penceresi sırasında kötü sürümleri çözen herkes, olağandışı bir şey fark etmeden yükü çalıştırabilirdi. Bulut anahtarlarını, kaynak kontrol tokenlerini ve AI platform sırlarını ele alan ekipler için genel etki ciddidir. Bu yapıda bazı çalma modülleri kapatılmış olsa da, kod zaten mevcuttu ve daha sonra kalıcılık kanalları aracılığıyla açılabilirdi. AsyncAPI Kötü Amaçlı Yazılımı Modüller İçerir

Miasma çalışma zamanı, geliştiricilerin ve CI sistemlerinin genellikle yakınlarda tuttuğu sırlara yönelik geniş kimlik bilgisi erişim kodu içerir. Kaynak kontrolü, paket kayıtları, büyük bulut sağlayıcıları, konteyner platformları, gizli yöneticiler ve popüler yapay zeka hizmetlerini kapsayan yüzden fazla ortam değişkeni adı arar.