พบ Worm บน npm ซ่อน Payload ขนาดใหญ่เพื่อหลบเลี่ยงการตรวจจับและโจมตีบัญชีผู้ใช้งาน GitHub - Thailand Computer Emergency Response Team (ThaiCERT)

586/69 (IT) ประจำวันพุธที่ 28 ตุลาคม 2569

นักวิจัยด้านความมั่นคงปลอดภัยจาก JFrog รายงานการค้นพบแคมเปญมัลแวร์ประเภท Worm ในตระกูล Miasma บน npm ซึ่งก่อนหน้านี้คาดการณ์ว่าเป็นเพียงการทดสอบ แต่ข้อมูลล่าสุดพบว่ามัลแวร์ดังกล่าวได้แฝงตัวเข้าควบคุมคลังข้อมูล (Repository) บน GitHub จำนวน 42 แห่งจากผู้ใช้งาน 11 ราย มาตั้งแต่ช่วงเดือนกรกฎาคม ความสำคัญของเหตุการณ์นี้คือผู้โจมตีจงใจสร้าง Payload ให้มีขนาดใหญ่ถึง 12.9 ถึง 13.7 เมกะไบต์ เพื่อใช้เป็นเทคนิคในการหลบเลี่ยงระบบค้นหาโค้ดของ GitHub และเครื่องมือสแกนความปลอดภัยอัตโนมัติ ทำให้มัลแวร์สามารถซ่อนตัวและมุ่งเป้าโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) ได้อย่างแนบเนียน

แคมเปญการโจมตีภายใต้ชื่อ testmetest จะทำงานโดยการฝังชุดคำสั่งประมวลผล (Execution hooks) ลงในเครื่องมือพัฒนาโปรแกรมและผู้ช่วยเขียนโค้ดด้วยปัญญาประดิษฐ์ เช่น Claude, Gemini, Cursor และ VS Code เพื่อถอดรหัส Payload ที่ซ่อนไว้ จากนั้นมัลแวร์จะทำการขโมยข้อมูลยืนยันตัวตน ปรับเปลี่ยนการตั้งค่าระบบ CI (Continuous Integration) และแพร่กระจายตัวผ่านแพ็กเกจ npm ซึ่งมัลแวร์นี้ยังมีความสามารถในการตรวจสอบสภาพแวดล้อมเพื่อหยุดทำงานเมื่อพบระบบวิเคราะห์อัตโนมัติ และที่สำคัญคือมีฟังก์ชันทำลายข้อมูล (Wiper) ที่จะลบข้อมูลในไดเรกทอรีหลักของเหยื่อทันทีหากพบว่าโทเค็น (Token) ของ GitHub ที่ขโมยมานั้นถูกเพิกถอนสิทธิ์ เบื้องต้นนักวิจัยยังพบความเชื่อมโยงกับโครงสร้างพื้นฐานที่เคยใช้แสวงหาประโยชน์จากช่องโหว่การข้ามผ่านกระบวนการยืนยันตัวตน (CVE-2026-41940) บนระบบ cPanel อีกด้วย

ผู้พัฒนาซอฟต์แวร์และผู้ดูแลระบบควรเร่งตรวจสอบคลังข้อมูลบน GitHub ของตนเองอย่างละเอียด โดยเฉพาะแพ็กเกจจากบุคคลที่สามและการตั้งค่าในระบบ CI/CD เพื่อค้นหาความผิดปกติของชุดคำสั่งที่อาจถูกฝังไว้ในเครื่องมือพัฒนาโปรแกรม แนวทางลดความเสี่ยงที่สำคัญคือการบริหารจัดการและตรวจสอบสิทธิ์การใช้งานโทเค็นอย่างรัดกุม เฝ้าระวังการเข้าถึงบัญชีที่ผิดปกติ และอัปเดตแพตช์รักษาความปลอดภัยสำหรับช่องโหว่ CVE-2026-41940 ในระบบ cPanel ให้เป็นเวอร์ชันล่าสุดตามคำแนะนำของผู้พัฒนา นอกจากนี้ องค์กรควรพิจารณาปรับปรุงเครื่องมือตรวจสอบความปลอดภัยให้สามารถวิเคราะห์และรองรับไฟล์ขนาดใหญ่ เพื่อป้องกันการหลบเลี่ยงการตรวจจับในลักษณะนี้

แหล่งข่าว : https://www.theregister.com/security/2026/10/26/worm-armed-42-github-repos-by-hiding-a-payload-too-big-to-fail/5305570

586/69（IT）2026年10月28日，星期三。

安全研究人员 JFrog 报告称，他们在 npm 上发现了 Miasma 蠕虫恶意软件攻击活动。此前人们认为这只是一次测试，但最新数据显示，自 7 月以来，该恶意软件已渗透并控制了 11 位用户的 42 个 GitHub 代码库。值得注意的是，攻击者特意创建了一个巨大的有效载荷（12.9 至 13.7 MB），以绕过 GitHub 的代码发现系统和自动安全扫描工具。这使得该恶意软件能够以极高的隐蔽性隐藏并攻击软件供应链。

此次代号为 testmetest 的攻击活动，通过将执行钩子嵌入到 Claude、Gemini、Cursor 和 VS Code 等开发工具和 AI 驱动的代码助手中，来解密隐藏的有效载荷。该恶意软件随后窃取身份验证凭据，修改持续集成 (CI) 设置，并通过 npm 包进行传播。此外，该恶意软件还能够监控环境，并在检测到自动化分析时停止执行。至关重要的是，它包含一个擦除功能，如果被窃取的 GitHub 令牌被撤销，则会立即删除受害者主目录中的数据。研究人员还发现，该恶意软件与之前用于利用 cPanel 身份验证绕过漏洞 (CVE-2026-41940) 的基础设施存在关联。

软件开发人员和系统管理员应立即彻底检查其 GitHub 代码库，特别是第三方软件包和 CI/CD 设置，以查找可能嵌入开发工具中的代码异常。关键的风险缓解措施包括严格管理和审计令牌授权、监控可疑账户访问，以及按照开发人员的建议将 cPanel 更新到最新的 CVE-2026-41940 安全补丁版本。此外，各组织还应考虑升级其安全监控工具，以便分析和处理大型文件，从而防止此类规避行为。

来源：https://www.theregister.com/security/2026/10/26/worm-armed-42-github-repos-by-hiding-a-payload-too-big-to-fail/5305570