GitHub disables Microsoft repos pushing password-stealing malware

マイクロソフトは、GitHub上のAzure、microsoft、Azure-Samples、およびMicrosoftDocsの各組織にまたがる73のリポジトリを削除し、継続的インテグレーションのパイプラインに支障をきたした。

この事象は6月5日に発生し、わずか105秒で収束しました。同社は、これらのリポジトリが「潜在的な悪意のあるコンテンツ」を配布している恐れがあるとして削除されたと説明しました。

複数の研究者が、Miasma/Shai-Huludによるサプライチェーン攻撃の過程で侵害を受けた後、これらのリポジトリが削除されたことを確認した。

image

OpenSourceMalwareプラットフォームは、GitHub上のMicrosoftのAzure組織にあるリポジトリ「durabletask」が5月に侵害されていたことを指摘しており、これは不完全なクリーンアップが原因で、攻撃者が新たな侵害を行えたことを示唆している。ただし、この点は確認されていない。

リポジトリが削除された直後、「GitHubの利用規約違反」を理由にGitHubスタッフによって措置が講じられたことを説明するメッセージが表示された。

マイクロソフトの担当者はコミュニティの議論においてユーザーの懸念に応え、リポジトリが無効化されたのは「内部管理上の問題」によるものであり、現在調査中であると述べた。

このインシデントによる最も重大な直接的な影響は、多くの開発者がAzure Functionsのデプロイに利用しているGitHub Actionである「Azure/functions-action」へのアクセスが停止したことでした。

このリポジトリを参照するワークフローは、アクションを解決するためのリソースが指定されたリポジトリ内に存在しなくなったため動作を停止し、サービス停止と混乱を招きました。

しかし、本稿執筆時点では、すべてのリポジトリが復旧しており、クリーンで安全に使用できる状態にあるとされています。

しかし、OpenSourceMalwareプラットフォームによると、Python Package Index（PyPI）上の「durabletask」パッケージは、5月に脅威アクターが3つの悪意のあるバージョン（1.4.1、1.4.2、1.4.3）をプッシュした際に侵害されていたことが判明しています。

Microsoftの広報担当者は声明の中で、同社が「潜在的な悪意のあるコンテンツを調査する過程で、一部のリポジトリを一時的に削除した」と説明しました。

すべてのリポジトリは復旧しましたが、マイクロソフトは「影響を受けたリポジトリからコンテンツを取得した可能性のある少数の顧客に通知を行いました」。

「引き続き調査を進めており、顧客の対応が必要な新たな事実が判明した場合は、既存のサポートチャネルを通じて直接連絡する」と、マイクロソフトの広報担当者は語った。

セキュリティエンジニアのアドナン・カーン氏は、6月5日にマイクロソフトのリポジトリに影響を与えたこのインシデントは、Red Hatのnpmパッケージ32個に感染したマルウェアキャンペーン「Miasma」の一環であるようだと述べた。

今週発表されたレポートで、ソフトウェア・サプライチェーン管理企業のCloudsmithは、GitHub上のマイクロソフトのAzure環境と「durabletask」リポジトリが、AIコーディングツール（例：Claude Code、Gemini CLI、VS Code、Cursor）を標的としたMiasmaを介して侵害されたと結論付けた。

ハッカーは、Red HatのnpmパッケージからGitHub上のMicrosoftのリソースへと攻撃の矛先を移した。

「このワームは当初、Red Hat 従業員の GitHub アカウントを侵害することで、@redhat-cloud-services npm ネームスペースを攻撃しました。脅威アクターは、レビューされていない孤立したコミットを内部リポジトリにプッシュすることで、GitHub のOIDC トークンを要求する最小限のワークフローを注入しました」と研究者らは述べています。

サプライチェーン攻撃は、引き続きオープンソースのエコシステムを標的としている。昨日、アプリケーションセキュリティ企業のSocketは、週末に新たな配信メカニズムを利用した新たなShai-Hulud攻撃を検知したと報告した。

StepSecurityは、GitHubで33,700以上のスターと3,500以上のフォークを持つ人気のオープンソースAI開発ツール「Pythagora-io/gpt-pilot」に影響を与えたShai-Hulud攻撃に焦点を当てた別のレポートを公開した。

ソフトウェア開発者は、プロジェクトの依存関係をロックし、新しいパッケージの更新を取得する際に数日間の時間差を設け、隔離された環境で新しいビルドをテストすることを検討すべきです。