2 min

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Sdílet

Dennívýzva

Microsoft řeší další nepříjemný bezpečnostní případ. Desítky balíčků, které působily důvěryhodně, měly obsahovat kód pro krádež přístupů. Spouštěl se při práci v AI nástrojích pro vývojáře.

Zdroj: Shutterstock

Microsoft a GitHub mají na stole další bezpečnostní incident, který nevypadá dobře. Podle zjištění Dana Goodina z Ars Technica bylo koncem minulého týdne zablokováno 73 open source balíčků. Automatické systémy GitHubu je označily jako škodlivé.

Na první pohled by se dalo říct, že podobných případů už bylo dost. Jenže tady je problém v něčem jiném. Nešlo o náhodné balíčky z podezřelého účtu, který vznikl včera. Balíčky měly působit jako důvěryhodné a navíc nesly kryptografické ověření. Pro vývojáře to tedy na první pohled mohlo vypadat jako běžná součást práce.

Škodlivý kód se měl spustit ve chvíli, kdy vývojář otevřel balíček v AI nástroji pro psaní kódu. Zmíněny byly Claude Code, Gemini CLI, Cursor i Visual Studio Code. To je na celém případu dost podstatné. Útok nemířil na běžného uživatele, který si stáhne program z internetu. Mířil přímo na lidi, kteří mají v počítači přístupy k projektům, cloudům a vývojářským službám.

GitHub balíčky stáhl, ale zpočátku to popsal jen jako porušení podmínek služby. Microsoft později uvedl, že některé repozitáře dočasně odstranil, protože vyšetřuje možný škodlivý obsah.

Problém není jen v jednom balíčku

Celé je to nepříjemné i proto, že nejde o první podobný případ. V květnu firma StepSecurity popsala kompromitaci oficiálního Microsoft balíčku durabletask na PyPI. Napadené měly být verze 1.4.1, 1.4.2 a 1.4.3. Tento balíček se používá pro Azure Durable Task Scheduler a podle StepSecurity měl okolo 400 tisíc stažení měsíčně.

V novém incidentu se mluví o malwaru Miasma. Bezpečnostní firma Cloudsmith ho spojuje s nástrojem Mini Shai-Hulud a skupinou TeamPCP. Podstatné je, že Miasma neměla jen tiše krást nějaké soubory z počítače. Podle dostupných informací šla po přístupech do AWS, Azure, Google Cloud Platform, Kubernetes, správců hesel a dalších vývojářských konfigurací.

Tady se ukazuje slabina, která je pro dnešní vývoj softwaru hodně nepříjemná. Vývojáři jsou zvyklí věřit balíčkům podle původu, podpisu a automatických kontrol. Jenže pokud útočník získá přístup správce nebo legitimní token, může se v systému chovat skoro stejně jako oprávněný vydavatel. A běžný skener pak nemusí poznat, že se dívá na škodlivou aktualizaci.

Reklama

Další články z cdr.cz

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Ukrajinští „ohniví ptáci“ drtí tankery. Rusové uzavřeli klíčovou vodní cestu

Test másel ze supermarketů odhalil propadák. Tuto značku Češi kupují ve velkém

Albert Čuba bez servítků: České filmy nikoho nezajímají, stát by měl na tři roky zavřít kohoutky

Detaily šokující smlouvy, tým může potopit. Podepsalo by 99 % lidí, brání se talent

Truchlící rodiče varují ostatní: naše 19měsíční dcera zemřela v hotelu během spánku. Mohli za to předchozí hosté