Майже 9 000 репозиторіїв на GitHub зламано через приховані сканери ключів wfx
Коли сучасна розробка штучного інтелекту нагадує гру в рулетку, де твої хмарні паролі чомусь дуже цікавлять абсолютно незнайомих людей з інтернету.
Чергове оновлення звичних бібліотек перетворилося на справжній цифровий трилер, коли в реєстрі Packagist з'явилася заражена версія пакета NeuronAI Studio для візуального створення AI-агентів на фреймворку Laravel. Разом із корисним функціоналом розробники безкоштовно отримали прихований скрипт на ім'я wfx, який спеціалізується на тихому викраденні чужих токенів та секретів. Щойно автоматизовані інструменти збирали проєкт, шкідливий код миттєво сканував середовище на наявність ключів до хмарних сервісів.
Зловмисники не зламували систему грубою силою — вони просто прикинулися доброзичливими ботами з підтримки коду. Атака базувалася на використанні раніше вкрадених токенів доступу до GitHub, завдяки чому спочатку створювався нешкідливий запит на оновлення документації заради перевірки прав. Після цього від імені легітимного розробника надходив коміт під виглядом технічного обслуговування кешу збірки. Зібравши всі доступні секрети середовища GitHub Actions, скрипт акуратно видаляв усі сліди своєї присутності, включно з історією запусків та логами.
Масштаби інциденту вразили навіть бувалих експертів із безпеки, адже спроби випустити чисті версії пакетів спочатку теж потрапляли під антивірусні блокування через збереження залишків шкідливого коду. Крім того, небезпечний сценарій намагався налаштовувати під себе правила довіри для ролей в AWS та запроваджувати сторонні облікові записи в Azure. Аналогічні сюрпризи згодом виявили в інших популярних репозиторіях, що вкотре нагадало про крихкість сучасних ланцюжків постачання програмного забезпечення.
Покладатися на абсолютну безпеку відкритих бібліотек у сучасному світі — це все одно що купувати їжу з рук незнайомця на темному вокзалі і сподіватися на краще.
Джерело: Endor Labs
Коментарі
Тут відбувається магія: наш AI одразу відгукується на коментарі. Бали відображають вплив на статтю та заповнюють шкалу змін. Можна дискутувати або прямо пропонувати, як переписати текст. Коли шкала заповниться, стаття оновиться на ваших очах.