2 min

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Microsoft řeší další nepříjemný bezpečnostní případ. Desítky balíčků, které působily důvěryhodně, měly obsahovat kód pro krádež přístupů. Spouštěl se při práci v AI nástrojích pro vývojáře.

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Zdroj: Shutterstock

Microsoft a GitHub mají na stole další bezpečnostní incident, který nevypadá dobře. Podle zjištění Dana Goodina z Ars Technica bylo koncem minulého týdne zablokováno 73 open source balíčků. Automatické systémy GitHubu je označily jako škodlivé.

Na první pohled by se dalo říct, že podobných případů už bylo dost. Jenže tady je problém v něčem jiném. Nešlo o náhodné balíčky z podezřelého účtu, který vznikl včera. Balíčky měly působit jako důvěryhodné a navíc nesly kryptografické ověření. Pro vývojáře to tedy na první pohled mohlo vypadat jako běžná součást práce.

Škodlivý kód se měl spustit ve chvíli, kdy vývojář otevřel balíček v AI nástroji pro psaní kódu. Zmíněny byly Claude Code, Gemini CLI, Cursor i Visual Studio Code. To je na celém případu dost podstatné. Útok nemířil na běžného uživatele, který si stáhne program z internetu. Mířil přímo na lidi, kteří mají v počítači přístupy k projektům, cloudům a vývojářským službám.

GitHub balíčky stáhl, ale zpočátku to popsal jen jako porušení podmínek služby. Microsoft později uvedl, že některé repozitáře dočasně odstranil, protože vyšetřuje možný škodlivý obsah.

Problém není jen v jednom balíčku

Celé je to nepříjemné i proto, že nejde o první podobný případ. V květnu firma StepSecurity popsala kompromitaci oficiálního Microsoft balíčku durabletask na PyPI. Napadené měly být verze 1.4.1, 1.4.2 a 1.4.3. Tento balíček se používá pro Azure Durable Task Scheduler a podle StepSecurity měl okolo 400 tisíc stažení měsíčně.

V novém incidentu se mluví o malwaru Miasma. Bezpečnostní firma Cloudsmith ho spojuje s nástrojem Mini Shai-Hulud a skupinou TeamPCP. Podstatné je, že Miasma neměla jen tiše krást nějaké soubory z počítače. Podle dostupných informací šla po přístupech do AWS, Azure, Google Cloud Platform, Kubernetes, správců hesel a dalších vývojářských konfigurací.

Tady se ukazuje slabina, která je pro dnešní vývoj softwaru hodně nepříjemná. Vývojáři jsou zvyklí věřit balíčkům podle původu, podpisu a automatických kontrol. Jenže pokud útočník získá přístup správce nebo legitimní token, může se v systému chovat skoro stejně jako oprávněný vydavatel. A běžný skener pak nemusí poznat, že se dívá na škodlivou aktualizaci.

Reklama

Další články z cdr.cz

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Mirek Topolánek ukázal drsné následky boje s rakovinou: Bývalý premiér sdílel svou znepokojivou proměnu

Punčochář doma ztrácí monopol na vařečku. Syn Matěj už vaří večeře celé rodině

Nevěř každému, kdo se usmívá, nepij příliš a věz, kdy odejít. Odinovy rady jsou překvapivě současné

Z dětské hvězdy králem nekorektního humoru. Suchánek se z průšvihů vždycky nějak vyhrabal

„Tohle jsem ještě neviděl.“ Na Pavla reaguje legendární fotograf F1, natočil video