Десятки open-source пакетов Microsoft оказались заражены вредоносным кодом

На прошлой неделе была зафиксирована масштабная компрометация криптографически проверенных пакетов Microsoft с открытым исходным кодом. Вредоносный код, нацеленный на кражу конфиденциальных данных, активируется в тот момент, когда разработчики открывают эти файлы с помощью ИИ-ассистентов для написания кода.

Реакция GitHub и масштаб проблемы

Автоматизированные системы безопасности заблокировали на платформе GitHub 73 пакета, идентифицированных как вредоносные. Первоначально представители GitHub, принадлежащего корпорации Microsoft, ограничили доступ к репозиториям с формулировкой «за нарушение условий использования», не уточняя характер угрозы. Только спустя несколько дней Microsoft официально признала возможность заражения, заявив о временном удалении контента для проведения расследования.

Эксперты по кибербезопасности рекомендуют разработчикам, работавшим с данными пакетами через ИИ-инструменты, исходить из того, что их системы уже скомпрометированы, и принять соответствующие меры защиты.

Технические детали атаки и вредоносное ПО Miasma

Исследователи связывают атаку с хакерской группировкой TeamPCP. Злоумышленники внедрили в пакеты вредоносную нагрузку объемом 28 КБ, получившую название Miasma. Это программное обеспечение представляет собой модифицированный набор инструментов для взлома и предназначено для хищения учетных данных из различных сред:

• Облачные платформы AWS, Azure и Google Cloud Platform (GCP).
• Системы управления контейнерами Kubernetes.
• Менеджеры паролей.
• Более 90 конфигурационных файлов популярных инструментов для разработки.

После кражи данных вирус пытается распространиться по облачной инфраструктуре организации, чтобы заразить другие рабочие станции. По данным аналитиков, злоумышленники скомпрометировали учетные данные сотрудников Microsoft, ответственных за публикацию кода. Это позволило им внедрить вредоносные компоненты в обход стандартных защитных механизмов проверки сборки программного обеспечения.

Повторная угроза для цепочки поставок

Данный инцидент стал второй крупной атакой на цепочку поставок (supply-chain attack) Microsoft за последние два месяца. В середине мая была выявлена компрометация Python-пакета durabletask, который используется для создания отказоустойчивых рабочих процессов и скачивается около 400 000 раз в месяц.

В ходе анализа выяснилось, что Miasma собирает токены протокола OpenID Connect (OIDC), которые используются в стандарте SLSA для криптографического подтверждения подлинности программного обеспечения. Аналогичная схема использовалась злоумышленниками в отдельной атаке, в результате которой пострадали десятки пакетов компании Red Hat. Специалисты отмечают, что использование легитимных токенов Microsoft позволяет вредоносному ПО долгое время оставаться незамеченным для систем безопасности.

Твитнуть