Novi npm crv iz obitelji Miasma, koji su otkrili JFrogovi istraživači, potajno je aktivirao 42 repozitorija 11 vlasnika, preuzimajući račune još od srpnja. Zlonamjerni kod veličine 12,9 do 13,7 MB izbjegao je GitHubovu pretragu i API-je te je ostao neotkriven za automatizirane skenere.
U kampanji „testmetest“ utvrđeno je 18 paketa istog operatera, a zlonamjerni softver sam se replicira, krade vjerodajnice i instalira program koji briše korisnički matični direktorij kada se token povuče. Crv dijeli kod s Miasma Phantom Gypom iz lipnja i dodaje Mini Shai-Huludov program za brisanje pri povlačenju tokena, a dodatno se širi npm paketima te mijenja repozitorije i CI konfiguracije.
Istraživači su primijetili da se učitač brani od CI izvršitelja, kontejnera i alata za otklanjanje pogrešaka te se tiho prekida ako otkrije znakove automatizirane analize.
