พบ Worm บน npm ซ่อน Payload ขนาดใหญ่เพื่อหลบเลี่ยงการตรวจจับและโจมตีบัญชีผู้ใช้งาน GitHub
นักวิจัยด้านความมั่นคงปลอดภัยจาก JFrog รายงานการค้นพบแคมเปญมัลแวร์ประเภท Worm ในตระกูล Miasma บน npm ซึ่งก่อนหน้านี้คาดการณ์ว่าเป็นเพียงการทดสอบ แต่ข้อมูลล่าสุดพบว่ามัลแวร์ดังกล่าวได้แฝงตัวเข้าควบคุมคลังข้อมูล (Repository) บน GitHub จำนวน 42 แห่งจากผู้ใช้งาน 11 ราย มาตั้งแต่ช่วงเดือนกรกฎาคม ความสำคัญของเหตุการณ์นี้คือผู้โจมตีจงใจสร้าง Payload ให้มีขนาดใหญ่ถึง 12.9 ถึง 13.7 เมกะไบต์ เพื่อใช้เป็นเทคนิคในการหลบเลี่ยงระบบค้นหาโค้ดของ GitHub และเครื่องมือสแกนความปลอดภัยอัตโนมัติ ทำให้มัลแวร์สามารถซ่อนตัวและมุ่งเป้าโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) ได้อย่างแนบเนียน
นักวิจัยด้านความมั่นคงปลอดภัยจาก JFrog รายงานการค้นพบแคมเปญมัลแวร์ประเภท Worm ในตระกูล Miasma บน npm ซึ่งก่อนหน้านี้คาดการณ์ว่าเป็นเพียงการทดสอบ แต่ข้อมูลล่าสุดพบว่ามัลแวร์ดังกล่าวได้แฝงตัวเข้าควบคุมคลังข้อมูล (Repository) บน GitHub จำนวน 42 แห่งจากผู้ใช้งาน 11 ราย มาตั้งแต่ช่วงเดือนกรกฎาคม ความสำคัญของเหตุการณ์นี้คือผู้โจมตีจงใจสร้าง Payload ให้มีขนาดใหญ่ถึง 12.9 ถึง 13.7 เมกะไบต์ เพื่อใช้เป็นเทคนิคในการหลบเลี่ยงระบบค้นหาโค้ดของ GitHub และเครื่องมือสแกนความปลอดภัยอัตโนมัติ ทำให้มัลแวร์สามารถซ่อนตัวและมุ่งเป้าโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) ได้อย่างแนบเนียน
แคมเปญการโจมตีภายใต้ชื่อ testmetest จะทำงานโดยการฝังชุดคำสั่งประมวลผล (Execution hooks) ลงในเครื่องมือพัฒนาโปรแกรมและผู้ช่วยเขียนโค้ดด้วยปัญญาประดิษฐ์ เช่น Claude, Gemini, Cursor และ VS Code เพื่อถอดรหัส Payload ที่ซ่อนไว้ จากนั้นมัลแวร์จะทำการขโมยข้อมูลยืนยันตัวตน ปรับเปลี่ยนการตั้งค่าระบบ CI (Continuous Integration) และแพร่กระจายตัวผ่านแพ็กเกจ npm ซึ่งมัลแวร์นี้ยังมีความสามารถในการตรวจสอบสภาพแวดล้อมเพื่อหยุดทำงานเมื่อพบระบบวิเคราะห์อัตโนมัติ และที่สำคัญคือมีฟังก์ชันทำลายข้อมูล (Wiper) ที่จะลบข้อมูลในไดเรกทอรีหลักของเหยื่อทันทีหากพบว่าโทเค็น (Token) ของ GitHub ที่ขโมยมานั้นถูกเพิกถอนสิทธิ์ เบื้องต้นนักวิจัยยังพบความเชื่อมโยงกับโครงสร้างพื้นฐานที่เคยใช้แสวงหาประโยชน์จากช่องโหว่การข้ามผ่านกระบวนการยืนยันตัวตน (CVE-2026-41940) บนระบบ cPanel อีกด้วย
ผู้พัฒนาซอฟต์แวร์และผู้ดูแลระบบควรเร่งตรวจสอบคลังข้อมูลบน GitHub ของตนเองอย่างละเอียด โดยเฉพาะแพ็กเกจจากบุคคลที่สามและการตั้งค่าในระบบ CI/CD เพื่อค้นหาความผิดปกติของชุดคำสั่งที่อาจถูกฝังไว้ในเครื่องมือพัฒนาโปรแกรม แนวทางลดความเสี่ยงที่สำคัญคือการบริหารจัดการและตรวจสอบสิทธิ์การใช้งานโทเค็นอย่างรัดกุม เฝ้าระวังการเข้าถึงบัญชีที่ผิดปกติ และอัปเดตแพตช์รักษาความปลอดภัยสำหรับช่องโหว่ CVE-2026-41940 ในระบบ cPanel ให้เป็นเวอร์ชันล่าสุดตามคำแนะนำของผู้พัฒนา นอกจากนี้ องค์กรควรพิจารณาปรับปรุงเครื่องมือตรวจสอบความปลอดภัยให้สามารถวิเคราะห์และรองรับไฟล์ขนาดใหญ่ เพื่อป้องกันการหลบเลี่ยงการตรวจจับในลักษณะนี้
แนวทางแก้ไขและข้อเสนอแนะ
เร่งตรวจสอบระบบที่ได้รับผลกระทบ ดำเนินการอัปเดตแพตช์เวอร์ชันล่าสุดตามคำแนะนำของผู้พัฒนาอย่างเร่งด่วน