GitHub haalt snel tientallen repo's van Microsoft offline vanwege wormaanval

GitHub haalde onlangs 73 repository's van Microsoft offline na een vermeende wormaanval. Het zou gaan om de Miasma-supplychainaanval. Het is niet bekend hoeveel slachtoffers de cyberaanval heeft gemaakt.

De supplychainaanval werd in eerste instantie ontdekt door StepSecurity. De 'worm' zou in verschillende Microsoft Azure-repo's zitten en installeerde bij het openen hiervan een infostealer. Dit gebeurde als een ontwikkelaar de geïnfecteerde repo in een AI-programmeertool als Claude Code of Gemini CLI opende, maar ook in een ide zoals Visual Studio Code.

Het is onduidelijk wie de kwaadwillige code aan de opensourceprojecten van Microsoft heeft toegevoegd. Het bedrijf liet aan TechCrunch weten dat het op de hoogte is van het probleem en uit voorzorg de repo's offline heeft gehaald.

Ook is niet bekend hoeveel mensen de geïnfecteerde projecten hebben gedownload. Microsoft heeft naar eigen zeggen 'een klein aantal' gebruikers ingelicht dat zij mogelijk geïnfecteerd zijn met malware.

Nog meer supplychainaanvallen

De laatste maanden vonden er meer van dit soort supplychainaanvallen plaats. Zo waren er meerdere aanvalsgolven met de Shai-Hulud-worm via npm-packages. Dat is slechts een van de manieren om dit soort aanvallen uit te voeren. Dit kan dus bijvoorbeeld ook via GitHub, zoals nu het geval was.

Een supplychainaanval is een strategie waarbij criminelen een veelgebruikt project, vaak een opensourceproject, proberen te infecteren met malware. Als een project in gebruik is in veel verschillende diensten, verspreidt de malware zich snel en automatisch. Deze vorm van cyberaanvallen richt zich op een doelwit ergens aan het begin van een 'toeleveringsketen' van softwareontwikkeling, zodat de aanvallen zoveel mogelijk daarvan afhankelijke ontwikkelaars kunnen treffen.

Reacties (15)

[Kees]

Gelukkig heeft Microsoft's vscode iets ingebakken om te voorkomen dat je hele nieuwe extensies kan instaleren of updates te snel ophaalt zodat ze iets meer tijd hebben om dit soort aanvallen te detecteren en te neutraliseren!

https://code.visualstudio.com/updates/v1_123#_delayed-extension-autoupdates

We zijn veilig!

Note: This delay does not apply to extensions from trusted publishers such as Microsoft, GitHub, and OpenAI. These extensions continue to update immediately.

Owh. wacht.

[Mushroomician]

oprechte vraag: wat probeer je nou eigenlijk precies zeggen met je sarcasme?

In de strijd tegen suply-chain-attacks, heb jij dan wél een idee dat effectief en dusdanig voor de hand ligt dat het jouw niveau van sarcasme rechtvaardigt?

Ik begrijp je punt over de vertrouwde uitgevers. Niemand vertrouwen kan ook maar ergens is balans zoeken wel een stap om mee te beginnen. Wie weet gaat men dankzij dit incident nu ook hieruit lessen trekken

[Reactie gewijzigd door Mushroomician op 9 juni 2026 16:07]

[Kees]

Wat ik bedoel te zeggen is dat ze een beveiliging introduceren tegen supply chain attacks, maar vervolgens 'trusted publichers' vertrouwen, alsof die niet gehacked kunnen worden.

En nog geen week later blijken die 'trusted publishers' ook hackbaar zoals dit nieuws meldt. Het komt niet zo vaak voor dat een bedrijf zo snel met de neus op de feiten word gedrukt as hier het geval is.

[Tokidoki]

Ik denk niet dat je het moet zien als sarcasme maar als een informatief grapje.
We worden geïnformeerd over dat VSCode wel degelijk na heeft gedacht over haar beveiliging en zelfs aan dit specifieke probleem heeft gedacht. Vervolgens wordt de geraffineerdheid van de aanval benadrukt, dmv een grap. Dat is alles.

[Cerberus_tm]

Nooit automatisch updates installeren. Heb je meteen ook geen last van knoppen die onverwacht van plaats veranderen en functie die eruit gesloopt worden of achter een betaalmuur geplaatst en geen plotselinge incompatibiliteit van andere geïnstalleerde programmata. Altijd een update controleren voordat je hem toelaat.

[Sando]

Dat klopt. Maar tegelijk worden er met AI meer zero days dan ooit gevonden, en moet je altijd updates installeren. Complete bedrijfstakken worden gehacked omdat ze 7 dagen wachten met het installeren van updates voor iets waarvan ze dachten dat het onbelangrijk was.

[Keypunchie]

In de strijd tegen suply-chain-attacks, heb jij dan wél een idee dat effectief en dusdanig voor de hand ligt dat het jouw niveau van sarcasme rechtvaardigt?

Dat Microsoft door zichzelf voor te trekken hun beveiliging teniet doet!

[Ghoelian]

Dat ze zichzelf ook gewoon aan hun eigen regels moeten houden? Waarom zou een Microsoft of een OpenAI minder kwetsbaar zijn voor dit soort aanvallen? Ik denk juist dat je best kunt stellen dat ze meer kwetsbaar zijn, omdat het zulke grote bekende namen zijn. Er zijn vast veel meer mensen/bots die een Microsoft account proberen te kraken dan die van een barryvdh bijv.

[Dudwich]

oprechte vraag: wat probeer je nou eigenlijk precies zeggen met je sarcasme?

....

Ik begrijp je punt over de vertrouwde uitgevers.

Wat bedoel jij met je vraag? Volgens mij beantwoord je het zelf al.

[Keypunchie]

Zou het in dit geval helpen als je VSCodium, ipv. VS Code gebruikt?

[Ghoelian]

Codium gebruikt vziw een andere extension store, dus het had kunnen voorkomen dat je specifiek deze extensies installeert (ze zijn gewoon niet beschikbaar).

Ik zie niks in hun documentatie staan over die update delay, dus ik verwacht dat ze gewoon exact dezelfde implementatie gebruiken als Microsoft zelf.

[michelr]

Het is dezelfde vertraging waarmee dit nieuws gebracht wordt

[Tweakez]

top beveiliging!

[stanny]

leuk dat die extensions vertraagd geupdate worden, niet leuk dat ik niet kan kiezen dat dit ook moet tellen voor "vertrouwde uitgevers". Ik vertrouw liever niemand en wacht liever even af om zeker te zijn dat een update niet geïnfecteerd is.
Iemand weet hoe dat wel ingesteld kan worden? Ik vind daar niet direct iets van terug in de settings...

[Powerblast]

Ik heb zelf om die reden auto update extensions in zijn geheel uitgezet in vscode. Zal zelf wel updaten en pas na een tijd als het ook een feature heeft die ik mis ik de oude versie. Tegenwoordig zijn de meeste updates toch AI gerelateerd en daar kan ik wel zonder voor een tijd, dan niet altijd.