Na semana passada, o GitHub desativou 73 repositórios da Microsoft em 105 segundos depois de detectar um worm se propagando por eles. O nome do worm: Miasma. A porta de entrada: os arquivos de configuração do Claude Code, do Cursor, do Gemini CLI e do VS Code.

Esse artigo é uma leitura do que aconteceu, com nosso recorte do que muda na prática pra quem usa Claude Code, Cursor e qualquer ferramenta de IA pra criar software. Se você viu o ataque ao npm do Mini Shai-Hulud em maio, o Miasma é a continuação.

O que é o Miasma e como ele chegou nos repos da Microsoft?

Personagem Pixar em pânico apontando para vermes digitais laranja emergindo de servidores e se espalhando por blocos de repositórios num cenário dramático de data center

O Miasma é uma variante do Mini Shai-Hulud, criado pelo grupo TeamPCP. Em vez de envenenar pacotes npm, desta vez o vetor foi direto nos repositórios do GitHub da Microsoft.

No dia 5 de junho de 2026, um atacante com acesso a credenciais comprometidas de um colaborador da Microsoft empurrou um commit malicioso para o repositório azure/durabletask. O payload tinha 4,3 MB disfarçado de arquivo de configuração de desenvolvimento.

Vale notar que o Durable Task já havia sido comprometido em 19 de maio, no mesmo ciclo de ataques. Como aponta o pesquisador Paul McCarty, “quem segurou essas credenciais em maio provavelmente nunca as perdeu de verdade”. As credenciais não foram rotacionadas depois do ataque anterior. O worm voltou pelo mesmo caminho.

Em horas, o Miasma se espalhou para mais 73 repositórios em quatro organizações da Microsoft no GitHub: Azure, Azure-Samples, Microsoft e MicrosoftDocs. O GitHub detectou o ataque e desativou todos os 73 repositórios em 105 segundos. Tempo recorde, mas suficiente pra um número desconhecido de desenvolvedores terem clonado os repos contaminados.

Como o worm explorava o Claude Code e o Cursor?

Print da home do Claude Code mostrando a página do produto da Anthropic

Aqui é onde o ataque muda de patamar em relação ao que veio antes. O Miasma não explorou nenhum bug no Claude Code ou no Cursor. Ele usou o mecanismo legítimo de configuração dessas ferramentas como vetor de ataque.

Cinco arquivos que qualquer ferramenta de IA lê automaticamente ao abrir um projeto:

  • .claude/settings.json: hook de SessionStart do Claude Code. Roda assim que você abre qualquer projeto no Claude Code.
  • .gemini/settings.json: mesmo mecanismo pra o Gemini CLI da Google.
  • .cursor/rules/setup.mdc: arquivo de prompt de regras que o Cursor carrega em todo projeto.
  • .vscode/tasks.json: task de auto-run do VS Code.
  • Script npm test: roda com npm test.

O fluxo era direto: você clonava um repositório comprometido e abria no editor. Na hora que a ferramenta carregava as configurações, o payload já estava executando silenciosamente. Sem clique, sem permissão adicional, sem aviso.

Uma vez ativo, o worm coletava credenciais de AWS, Azure, GCP, Kubernetes, npm e GitHub armazenadas na máquina, e usava esses tokens roubados pra se commitar em qualquer repositório que a vítima tivesse permissão de escrita. Cada nova infecção gerava um payload único e criptografado, tornando detecção por assinatura de hash inútil.

O que foi comprometido nos repos da Microsoft?

Blocos de repositórios digitais laranja e âmbar se fragmentando e caindo de uma torre de servidores em câmera lenta num cenário Pixar dramático

Os 73 repositórios desativados incluem infraestrutura usada por milhares de desenvolvedores no ecossistema Azure. Alguns exemplos críticos:

  • azure-search-openai-demo: template de referência pra montar RAG com Azure OpenAI. Muito usado como ponto de partida por times de IA corporativa.
  • durabletask: framework de orquestração de workflows com implementações em .NET, Go, Java, JavaScript, Python e MSSQL.
  • functions-container-action: GitHub Action pra deploy de Azure Functions em container.
  • llm-fine-tuning: repositório de exemplos de fine-tuning de modelos no Azure.
  • windows-driver-docs: documentação de drivers do Windows.

O Miasma também trouxe coletores especializados pra credenciais de GCP e Azure, uma evolução sobre as variantes anteriores. Credenciais de cloud com acesso a produção são o objetivo, não só tokens de npm.

O GitHub conseguiu o containment em 105 segundos. Parte dos repositórios foi restaurada depois que a Microsoft concluiu a investigação. O risco real é o período entre o commit malicioso e a desativação: qualquer clone do repo nessa janela já trazia o payload ativo.

O que muda pra quem cria com IA depois desse ataque?

Criadora com óculos redondos grandes e expressão de vigilância Pixar inspecionando arquivos de configuração num laptop com luz quente dourada num escritório aconchegante iluminado em tons âmbar

O padrão que o Miasma consolida é o mesmo do Mini Shai-Hulud: usar a infraestrutura de confiança das ferramentas de IA como vetor. Não é falha nas ferramentas em si. É abuso dos arquivos de configuração que elas leem automaticamente.

Três coisas concretas pra quem usa Claude Code, Cursor ou Gemini CLI:

Inspecione as configurações antes de abrir qualquer repo externo no editor. Antes de abrir um repositório clonado no Claude Code ou no Cursor, verifique as pastas .claude/, .cursor/ e .vscode/. Se tiver arquivo de hook ou task com conteúdo que você não reconhece, não abra no editor antes de inspecionar o que ele faz.

Inclua arquivos de configuração de IA nas revisões de segurança dos seus projetos. .claude/settings.json e .cursor/rules/ são superfícies de ataque novas. Não existiam nos checklists de segurança de dois anos atrás. Existem agora.

Se você clonou e abriu repos da Microsoft no GitHub entre 5 e 10 de junho de 2026, rotacione como medida preventiva: tokens do GitHub, chaves do npm, credenciais de cloud. O risco pode ser baixo, mas o custo da rotação é menor que o de uma credencial comprometida.

O Miasma não vai ser o último ataque que usa esse padrão. A superfície de configuração das ferramentas de IA vai crescer junto com o uso delas.

A Formação em Vibe Coding da ibe.IA ensina a trabalhar com Claude Code e Cursor de forma produtiva, incluindo a estrutura de configuração e segurança que você precisa entender pra criar com IA de forma responsável.

Conheça a Formação em Vibe Coding

E se essa leitura te ajudou a entender o que está acontecendo, segue a ibe.IA no Instagram (@ibe.ia) que toda semana sai conteúdo desse jeito.

Fonte

The Next Web: Self-replicating Miasma worm hits 73 Microsoft GitHub repositories in supply chain attack