Przejdź do treści
Cyberataki

Megalodon i Miasma: dwa ataki na GitHub, które pokazują, jak działa łańcuch dostaw w praktyce

Dwa ataki na GitHub – Megalodon i Miasma – pokazują, jak działają współczesne zagrożenia łańcucha dostaw. Wyjaśniamy mechanizm i podajemy praktyczne zasady obrony.

3 min read
An abstract representation of a glowing blue chain made of interconnected code blocks, with one link turning red and fracturing, while a transparent shield surrounds the rest of the chain. Dark background with subtle digital grid lines.

Ataki na łańcuch dostaw oprogramowania stają się coraz bardziej wyrafinowane, a ich skutki mogą objąć tysiące projektów i firm na całym świecie. W ostatnich tygodniach ujawniono dwa osobne incydenty, w których cyberprzestępcy zainfekowali repozytoria na platformie GitHub, docierając do kodu źródłowego zarówno małych projektów, jak i giganta technologicznego. Co dokładnie się wydarzyło i jak można ograniczyć ryzyko podobnego zdarzenia we własnej organizacji?

Kluczowym zagrożeniem w obu przypadkach jest technika znana jako atak na łańcuch dostaw (supply chain attack). Zamiast atakować bezpośrednio docelową firmę, napastnicy infekują jedno z jej zewnętrznych ogniw – na przykład repozytorium kodu, bibliotekę lub narzędzie deweloperskie. Gdy ofiara pobiera skompromitowany kod, złośliwe oprogramowanie przedostaje się do jej środowiska produkcyjnego, często bez wiedzy administratorów.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Megalodon uderza w GitHub

Pod koniec maja 2026 roku badacze bezpieczeństwa ujawnili kampanię o kryptonimie Megalodon, w ramach której skompromitowano ponad 5 500 repozytoriów na GitHubie. Jak podał serwis Kapitan Hack, atak wykorzystywał zautomatyzowane zatwierdzanie zmian – mechanizm, który pozwala na szybkie scalanie kodu bez dodatkowej weryfikacji. Przestępcy wstrzyknęli złośliwy kod do popularnych bibliotek, a następnie czekali, aż deweloperzy sami go pobiorą i uruchomią w swoich projektach. Skala ataku, mierzona liczbą dotkniętych repozytoriów, czyni go jednym z największych tego typu zdarzeń w ostatnich latach.

Miasma – robak w repozytoriach Microsoftu

Zaledwie kilka dni później, na początku czerwca, światło dzienne ujrzał inny poważny incydent. Portal The Hacker News poinformował o robaku nazwanym Miasma, który zainfekował 73 repozytoria należące do Microsoftu. W przeciwieństwie do pasywnych metod wstrzykiwania kodu, Miasma działał aktywnie – rozprzestrzeniał się automatycznie pomiędzy projektami, wykorzystując luki w konfiguracji uprawnień. Atak ten pokazuje, że nawet największe firmy technologiczne nie są odporne na zagrożenia związane z łańcuchem dostaw. W obu przypadkach – zarówno Megalodona, jak i Miasmy – celem było wstrzyknięcie złośliwego oprogramowania do kodu źródłowego, który następnie trafiał do klientów i partnerów.

Jak skutecznie chronić się przed atakami na łańcuch dostaw

Chociaż pełna ochrona przed takimi zdarzeniami jest trudna, istnieją sprawdzone praktyki, które znacząco obniżają ryzyko. Oto najważniejsze z nich:

  • Regularnie audytuj zależności zewnętrzne. Każda biblioteka używana w projekcie powinna być sprawdzana pod kątem znanych podatności. Narzędzia takie jak Snyk, Dependabot czy GitHub Security Advisories mogą automatyzować ten proces.
  • Wymagaj przeglądu kodu i limitów na automatyczne scalanie. Zablokowanie lub ograniczenie mechanizmu automatycznego zatwierdzania zmian (auto-merge) utrudnia atakującym wstrzyknięcie kodu bez wiedzy zespołu.
  • Stosuj zasadę minimalnych uprawnień (least privilege). Deweloperzy i konta CI/CD powinny mieć dostęp tylko do tych repozytoriów i zasobów, które są niezbędne do pracy. Uniemożliwi to rozprzestrzenianie się ataku na inne projekty.
  • Weryfikuj integralność pobieranego kodu. Używaj podpisów cyfrowych (GPG) i sum kontrolnych (checksums) przy pobieraniu z zewnętrznych źródeł. Nie ufaj domyślnie żadnemu repozytorium.
  • Monitoruj zdarzenia na platformie. Włączenie powiadomień o zmianach w repozytoriach i niecodziennej aktywności (np. masowe tworzenie forków) pozwala szybciej wykryć anomalie.

Incydenty Megalodon i Miasma dowodzą, że ataki na łańcuch dostaw przestają być rzadkimi, izolowanymi zdarzeniami. Ich skala i celowanie zarówno w małe projekty, jak i w największe korporacje, powinna skłonić każdą firmę do przeglądu własnych praktyk bezpieczeństwa w obszarze zarządzania kodem źródłowym. Warto obserwować oficjalne komunikaty GitHub oraz raporty zespołów CERT, które często publikują wskaźniki kompromitacji (IoC) i aktualizacje po wykryciu nowych kampanii.

Niezależnie od skali organizacji, kluczowe jest przyjęcie założenia, że każda zewnętrzna zależność może stać się wektorem ataku. Systematyczne audyty, szkolenia zespołów deweloperskich i stosowanie narzędzi do analizy składu oprogramowania (Software Composition Analysis) to nie luksus, ale konieczność w dzisiejszym środowisku zagrożeń.

#bezpieczeństwo kodu #GitHub #łańcuch dostaw #Megalodon #Miasma #supply chain attack
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, kobieta około 40 lat siedząca przy biurku w mieszkaniu, trzyma smartfon w dłoni (widziany od tyłu, bez widocznego ekranu), patrzy na niego z zaniepokojeniem, obok laptop z wyłączonym ekranem, naturalne światło dzienne, głębia ostrości, kadr 16:9, styl Reuters, bez żadnych napisów ani cyfr. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Phishing na Microsoft Teams

29 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie reporterskie: starszy mężczyzna w polskim mieszkaniu w bloku z lat 70., siedzi przy stole w kuchni, trzyma smartfon z włączoną mapą Google, na twarzy wyraz zaniepokojenia i dezorientacji. Przez okno widać szare osiedle. Naturalne światło dzienne, głębia ostrości, ziarno jak z aparatu Canon, kadr 16:9 zbliżenie na twarz i telefon. Żadnych napisów, ekranów z interfejsem, pieniędzy ani dokumentów. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Rosyjskie zagłuszanie GPS w Polsce. 2/3 kraju pod ostrzałem

27 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Close-up of a worried middle-aged man looking at a laptop screen, office background, natural daylight, photorealistic, 16:9, high contrast, shallow depth of field, slight grain resembling stock photography from Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Fałszywa aktualizacja Microsoft Teams. Hakerzy przejmują Twój komputer przez RMM

27 lipca, 2026 3 min read