据 JFrog 安全研究团队披露，此前被开源供应链安全公司 SafeDep 初步判定为“无受害者测试”的 Miasma 家族 npm 恶意软件活动（代号 "testmetest"），实际上已针对真实开发者和组织发起攻击。
SafeDep 威胁猎人于上周首次监测到该活动，在 10 月 19 日至 10 月 25 日期间识别出 18 个关联软件包。这些包中包含窃取身份证信息的恶意代码，具备自我复制、凭证窃取功能，并内置清除器——一旦受害者撤销被盗的 GitHub 令牌，主目录将被删除。新变种与今年 6 月的 Miasma Phantom Gyp 虫共享代码，并集成了 Mini Shai-Hulud 的令牌撤销擦除机制。尽管 SafeDep 截至 10 月 22 日未报告受损第三方包或受害者，认为所有活动均源于运营商自测账户，但后续分析推翻了这一结论。
JFrog 研究人员 Guy Korolevski 和 Yair Benamou 在周一发布的报告中指出，攻击者已将恶意载荷植入属于知名开发人员及组织的真实 GitHub 仓库中。研究发现，攻击者通过插入执行代码至 Claude、Gemini、Cursor 和 VS Code 等 AI 编码助手及开发工具，利用体积达 12.9 至 13.7 MB 的多态包装来解码隐藏的 CI-publisher 有效载荷。这种大尺寸载荷旨在绕过 GitHub 搜索和 API 路径中常见的漏洞检测机制。
技术细节与基础设施
恶意软件不仅窃取凭证、修改仓库和 CI 配置并通过 npm 传播，还使用编译的本机附加组件解密并启动独立载荷。在执行前，加载器会检查 CI 运行器、容器、沙箱、调试器及其他自动分析环境的迹象，若检测到则静默退出，以规避安全扫描。
研究人员还发现一个跳过加密文件的第二版本，该版本分叉并运行硬编码命令，从名为 CementBeetleSteeple 的 GitHub 账户提取加载器。该账户托管了 17 个竞选数据库，并与 Socket 此前记录的一个大规模滥用 GitHub Actions 的活动相关联。该活动利用 CVE-2026-41940 漏洞在受损仓库中窃取服务器凭证。CVE-2026-41940 是一种影响 cPanel 和 WHM 的身份验证绕过漏洞，CISA 已于 4 月将其列入已知被利用漏洞目录，cPanel 随后发布了修补版本。
JFrog 将该账户连接到一个 shellpanel 扫描器，其 C2 基础设施此前已由 Socket 报道。此次发现将这些基础设施与 testmetest 活动的 GitHub 受害者集群联系起来，证据包括相同的被劫持所有者工件和工作流。JFrog 确认发现了 42 个被武装的 GitHub 存储库并试图在互联网上进行利用，但目前尚未证实任何下游的 cPanel 妥协事件。
