Червь Shai-Hulud, крадущий учетные данные, снова нанес удар, на этот раз внедрившись в SDK популярной платформы ИИ-агентов.
В четверг несколько исследователей безопасности сообщили, что обнаружили заражение Shai-Hulud в недавнем выпуске пакета npm для версии 0.5.144 SDK Tensorlake. Этот пакет загружается примерно 12 000 раз в неделю, а его репозиторий на GitHub имеет более тысячи звезд, что свидетельствует о его популярности и потенциальном серьезном риске для всех, кто установил вредоносную версию.
Анализ вредоносного релиза показывает, что он разделяет код и методы с вариантом Shai-Hulud под названием ChainDrop, который использовался в августе для компрометации зависимостей npm, включая keyv и flat-cache. Как и другие варианты Shai-Hulud, червь предназначен для кражи учетных данных и самораспространения.
По данным компании SafeDep, специализирующейся на безопасности цепочек поставок, эта конкретная версия предназначена для кражи всего, от криптокошельков до паролей браузера, секретов GitHub Actions, облачных учетных данных, токенов служебных учетных записей и всего остального, до чего она может добраться. Она эксфильтрует эти данные и поддерживает открытую линию связи с инфраструктурой C2 для получения дальнейших инструкций.
Что еще хуже, этот вариант Shai-Hulud отслеживает определенные украденные токены GitHub и, если один из них отозван, может инициировать удаление домашнего каталога зараженного пользователя при определенных условиях, что затрудняет удаление. Socket рекомендует пересобирать скомпрометированные системы из доверенного источника перед восстановлением доступа к секретам, в то время как исследователи предупреждают, что монитор вредоносных токенов следует отключить перед отзывом затронутых учетных данных.
Tensorlake — это облачная платформа для запуска изолированных ИИ-агентов и ненадежного кода, созданного ИИ. Зараженный SDK npm используется для создания и управления средами Tensorlake. Socket предупреждает, что скрипт установки вредоносного SDK может выполняться на машине разработчика или сервере сборки, вне защитных механизмов песочницы Tensorlake, потенциально компрометируя хост до запуска любого кода, сгенерированного ИИ.
«Команды могут изолировать сгенерированный агентом код, устанавливая его SDK на рабочей станции разработчика, сервере приложений или сборщике с доступом к учетным данным для развертывания и другим секретам», — отметили в Socket. «Код, выполняемый во время установки, наследует разрешения устанавливающего процесса».
Это может звучать плохо, но стоит отметить, что вредоносная версия была доступна недолго — по данным компании Socket, зараженная версия была опубликована в npm сегодня утром по UTC и была помечена их движком через 11 минут после публикации. Npm удалил эту версию, а Tensorlake также отозвал пакет, обновив версию до 0.5.145. Пользователям Tensorlake стоит проверить, не установили ли они вредоносную версию. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Brandon Vigliarolo
