Хакеры схавалі шкоднасныя праграмы ў файлах памерам да 13,7 МБ, якія не адлюстроўваліся ў звычайным пошуку па кодзе. Атака закранула праекты 11 распрацоўшчыкаў і арганізацый. Вірус мог запускацца пры выкарыстанні папулярных ШІ-інструментаў.
Хакеры схавалі шкоднасныя праграмы ў файлах памерам да 13,7 МБ, якія не адлюстроўваліся ў звычайным пошуку па кодзе. Атака закранула праекты 11 распрацоўшчыкаў і арганізацый. Вірус мог запускацца пры выкарыстанні папулярных ШІ-інструментаў.
Пра кампанію паведамілі даследчыкі кібербяспекі JFrog, якія выявілі 42 заражаных рэпазіторыі GitHub. Паводле іхных дадзеных, зламыснікі ўзломвалі акаўнты распрацоўшчыкаў як мінімум з ліпеня 2026 года.
Шкоднасная кампанія атрымала назву testmetest. Раней спецыялісты SafeDep выявілі звязаныя з ёй npm-пакеты, якія змяшчалі самараспаўсюджвальнага чарвяка. Аднак першапачаткова яны лічылі, што зламыснікі толькі тэстуюць сваю праграму на ўласных акаўнтах і рэальных пацярпелых пакуль няма.
Расследаванне JFrog паказала адваротнае: шкоднасны код ужо знаходзіўся ў рэпазіторыях сапраўдных распрацоўшчыкаў і арганізацый. Каб схаваць яго, атакуючыя выкарыстоўвалі незвычайны прыём. Яны размяшчалі код у файлах памерам ад 12,9 да 13,7 МБ.
Такія файлы не індэксаваліся пошукам GitHub, а стандартны API для атрымання змесціва файлаў не дазваляў іх прачытаць. Даследчыкам давялося вывучаць структуру рэпазіторыяў напрамую, каб выявіць схаваную праграму.
Пры гэтым у праектах знаходзіліся спецыяльныя налады для Claude, Gemini, Cursor і VS Code. Яны дазвалялі запускаць шкоднасны код пры пэўных дзеяннях распрацоўшчыка — напрыклад, пры адкрыцці праекта ў рэдактары або запуску сесіі ШІ-асістэнта.
Чарвяк здольны красці уліковыя дадзеныя, у тым токены GitHub і npm, SSH-ключы, паролі і ключы доступу да воблачных сервісаў. Атрымаўшы доступ да акаўнтаў, ён можа змяняць рэпазіторыі і распаўсюджвацца праз новыя версіі npm-пакетаў.
Асабліва небяспечная ўбудаваная функцыя знішчэння дадзеных. Калі пацярпелы адклікае скрадзены токен GitHub, шкоднасная праграма можа выдаліць файлы з ягонай хатняй дырэкторыі. Такім чынам, спроба заблакаваць доступ зламыснікаў здольная прывесці да страты дадзеных.
Для абыходу ахоўных сістэм атакуючыя таксама выкарыстоўвалі загрузчык, які правярае, ці не запушчаны ён у віртуальным асяроддзі, кантэйнеры або пад адладчыкам. Пры выяўленні прыкмет аўтаматычнага аналізу праграма спыняе працу, каб пазбегнуць выяўлення.
Спецыялісты SafeDep рэкамендуюць распрацоўшчыкам правяраць рэпазіторыі на з’яўленне падазроных канфігурацыйных файлаў ЩІ-інструментаў і нечаканых абнаўленняў пакетаў. Пры выяўленні заражэння спачатку неабходна ізаляваць прыладу і выдаліць механізмы замацавання шкоднаснай праграмы, а потым замяніць скампраметаваныя ключы і токены.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.