Microsoft GitHub hacket: Miasma-malware inficerede 73 repos

73 Microsoft-repos på GitHub er blevet inficeret med Miasma-malwaren i et af de mest alvorlige supply chain-angreb mod udviklere i år. Malwaren stjal adgangskoder og følsomme legitimationsoplysninger fra AI-udviklere, der brugte Microsofts open source-værktøjer.

Hvad er Miasma, og hvordan virker angrebet?

Miasma er en selvreplikerende orm, der angriber open source-software-repositories på GitHub. Ifølge sikkerhedsfirmaet Cloudsmith og det community-drevne analysesite OpenSourceMalware plantede angrebet en 4,3 MB stor payload-runner i kildekoden på de ramte repos. Malwaren aktiveres automatisk, når en udvikler kloner et kompromitteret repository og åbner det i et AI-kodningsværktøj.

Når koden åbnes i populære udviklingsomgivelser som Microsofts VS Code, Claude Code eller Googles Gemini CLI, begynder malwaren straks at indsamle adgangskoder og andre følsomme legitimationsoplysninger. Ifølge analyser detonerer angrebet altså ikke ved download, men ved det øjeblik udvikleren aktivt arbejder med de inficerede filer i sit foretrukne AI-kodningsredskab.

Miasma ramte repos på tværs af fire GitHub-organisationer tilhørende Microsoft: Azure, Azure-Samples, Microsoft og MicrosoftDocs. Størstedelen af de berørte projekter er tilknyttet Microsofts cloud-tjeneste Azure — netop de værktøjer som AI-udviklere bruger dagligt til at bygge og deployere applikationer.

70+ repos deaktiveret — og et genangreb

Microsoft reagerede ved at deaktivere over 70 repositories, mens efterforskningen pågik. En talsperson for Microsoft, Ben Hope, bekræftede over for TechCrunch, at virksomheden "midlertidigt fjernede nogle repositories, mens vi undersøgte potentielt ondsindet indhold."

Det var mediet 404 Media, der som de første rapporterede om angrebet. Efterfølgende understregede OpenSourceMalware, at der muligvis er tale om et reangreb snarere end et helt nyt brud. Analysen peger på, at angriberne bag det første kompromis aldrig blev fuldt fjernet fra Microsofts systemer — og at Miasma dermed kan have ligget sovende, inden det spredte sig til 73 repos.

Det er ikke første gang Microsoft rammes. Blot uger forinden led Durable Task — et Azure-relateret open source-projekt — sit andet kompromis i kort tid, hvilket yderligere peger på, at angriberne har haft vedholdende adgang til dele af Microsofts open source-infrastruktur.

Konsekvenser for AI-udviklere

Malwarens primære mål er de millioner af udviklere verden over, der bruger Microsofts Azure-værktøjer i kombination med moderne AI-kodningsassistenter. Fordi VS Code, Claude Code og Gemini CLI alle er utrolig udbredte i professionelle udviklingsmiljøer, er potentialet for skade enormt.

De stjålne legitimationsoplysninger kan bruges til at tilgå cloud-konti, produktionsmiljøer og fortrolig kildekode. I praksis betyder det, at en kompromitteret udvikler ikke blot risikerer tab af egne data, men også kan åbne bagdøre til de systemer og kunder, vedkommende bygger løsninger for.

Særligt bekymrende er det faktum, at angrebet designet til at detonere i AI-kodningsomgivelser — netop de redskaber, der bruges til at skrive og deployere produktionskode i høj fart. En kompromitteret adgangskode til Azure kan give angribere direkte adgang til aktive cloud-infrastrukturer, databaser og API-nøgler. For virksomheder, der outsourcer softwareudvikling eller benytter open source-komponenter fra Microsofts GitHub-organisationer, er risikoen for sekundær spredning reel.

Ifølge GitHub og Microsoft er de inficerede repos nu fjernet fra platformen, og virksomhederne opfordrer udviklere til at ændre adgangskoder og kontrollere, om de har klonet nogen af de berørte projekter i perioden. Brugere af Azure CLI, Azure SDK og relaterede pakker opfordres særligt til at scanne deres lokale udviklingsmiljøer for tegn på det 4,3 MB store payload.

Konklusion

Miasma-angrebet afslører en sårbarhed i hjertet af moderne softwareudvikling: tilliden til open source-kode fra velkendte leverandører. Når selv Microsofts egne GitHub-repos kan inficeres med adgangskode-stjælende malware, sætter det spørgsmålstegn ved hele supply chain-sikkerheden for AI-udviklingsworkflows.

Microsoft er nu under pres for at forklare, hvordan angriberne fik adgang — og ikke mindst, hvorfor et tidligere kompromis tilsyneladende ikke blev fuldt udryddet. De næste uger vil afgøre, om der kommer yderligere afsløringer om omfanget af det stjålne data. Udviklere, der har brugt Azure-relaterede open source-pakker på GitHub siden maj 2026, bør straks gennemgå deres udviklingsmiljøer.

For virksomheder og teams der bygger på Microsofts open source-infrastruktur, er Miasma-sagen et kraftigt argument for at indføre supply chain-sikkerhedsværktøjer som Software Composition Analysis og automatisk signaturverifikation af alle afhængigheder. Et enkelt kompromitteret package kan i et supply chain-angreb sende malware til tusindvis af downstream-brugere på én gang.