JFrog：testmetest npm 蠕蟲已在 42 個 GitHub 儲存庫植入惡意程式碼，並加入 AI 程式碼工具的啟動掛鉤

JFrog Security Research 表示，testmetest 行動不只涉及 npm：研究人員發現 42 個遭植入惡意程式碼的 GitHub 儲存庫，分屬 11 個合法擁有者，且內藏 npm 發佈者；此外還發現一款新的原生附加元件，會在執行階段解密其酬載，並在 CI、沙箱和分析工具中保持休眠。這波行動涉及 25 個 npm 套件名稱。JFrog 提醒讀者檢查是否安裝過任何 testmetest 或 @iobandamwer 套件，並將其移除。

根據一份研究摘要，這款蠕蟲屬於 Miasma npm 蠕蟲家族。它會在 .github/init.js 加入約 13 MB 的酬載，並在 .claude/settings.json（SessionStart）、Gemini CLI、Cursor 和 VS Code 設定中加入掛鉤，讓使用者開啟遭感染的儲存庫時便會執行。據稱，它會竊取 .env 檔案、SSH、雲端和 AI 金鑰，並在遭竊的權杖遭撤銷時清空家目錄，因此應先移除其持續駐留機制，再輪替憑證。

其他相關報導：Jamf Threat Labs 描述了一個 macOS 變種，其觸發機制藏在 binding.gyp 中，以靜默的假 node-gyp 步驟執行；一個資安資訊來源則列出三項 GitHub 安全公告（GHSA-7rwv-2p3x-mch4、GHSA-26g3-4jrv-x55w、GHSA-r5cq-2h3p-f6qf），其中部分問題已修補。