Chiến dịch tấn công chuỗi cung ứng Miasma lây nhiễm vào 73 kho lưu trữ GitHub của Microsoft

Hệ sinh thái GitHub của Microsoft vừa trở thành mục tiêu mới nhất của chiến dịch tấn công chuỗi cung ứng (supply chain attack) mang tên Miasma. Đây là một loại malware có khả năng tự nhân bản, đã gây ảnh hưởng đến 73 kho lưu trữ (repository) thuộc bốn tổ chức lớn của Microsoft, bao gồm Azure, Azure-Samples, Microsoft và MicrosoftDocs.

Hiện tại, GitHub đã tạm thời vô hiệu hóa quyền truy cập vào các kho lưu trữ bị ảnh hưởng do vi phạm điều khoản dịch vụ. Các chuyên gia bảo mật nhận định rằng đây là sự tiếp nối của các cuộc tấn công trước đó nhắm vào gói thư viện durabletask trên PyPI. Việc hàng loạt kho lưu trữ liên quan đến hệ sinh thái Durable Task bị xâm nhập cho thấy kẻ tấn công có khả năng đã duy trì quyền truy cập trái phép trong thời gian dài.

Cơ chế hoạt động của Miasma

Miasma được đánh giá là một biến thể của worm Mini Shai-Hulud. Thay vì khai thác các lỗ hổng kỹ thuật (vulnerability) hay zero-day, chiến dịch này lợi dụng chính mô hình tin cậy của các nền tảng như GitHub và npm. Kẻ tấn công chiếm đoạt tài khoản của các nhà phát triển hoặc khóa ký xác thực hợp lệ, sau đó thực hiện các thay đổi mã nguồn trông giống như những bản cập nhật thông thường.

Đáng chú ý, Miasma không chỉ giới hạn ở việc lây nhiễm qua registry mà còn tấn công trực tiếp vào mã nguồn. Các nhà nghiên cứu từ SafeDep cho biết, mã độc được thiết kế để kích hoạt khi nhà phát triển sao chép (clone) kho lưu trữ và mở bằng các công cụ hỗ trợ lập trình AI như Claude Code, Gemini CLI, Cursor hoặc VS Code. Payload của mã độc sẽ tự động thực thi thông qua các công cụ này để duy trì sự hiện diện bền bỉ trên hệ thống.

Thách thức đối với mô hình bảo mật hiện tại

Sự kiện này một lần nữa gióng lên hồi chuông cảnh báo về tính mong manh của chuỗi cung ứng phần mềm. Các chuyên gia từ FalconFeeds.io nhấn mạnh rằng các biện pháp phòng thủ truyền thống gần như vô hiệu trước Miasma vì nó hoạt động hoàn toàn thông qua các kênh hợp pháp. Khi một gói phần mềm được ký bởi khóa hợp lệ và xuất bản bởi người bảo trì (maintainer) đã được xác thực, hệ thống sẽ mặc định coi đó là an toàn.

Chiến dịch Miasma cho thấy khả năng lan truyền theo cấp số nhân bằng cách lây nhiễm sang các người dùng hạ nguồn (downstream users), tạo ra một vòng lặp tấn công liên tục. Đây được xem là một trong những chiến dịch tấn công chuỗi cung ứng bền bỉ và nguy hiểm nhất được ghi nhận tính đến thời điểm hiện tại.

Nguồn tham khảo: The Hacker News