2 min

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Microsoft řeší další nepříjemný bezpečnostní případ. Desítky balíčků, které působily důvěryhodně, měly obsahovat kód pro krádež přístupů. Spouštěl se při práci v AI nástrojích pro vývojáře.

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Zdroj: Shutterstock

Microsoft a GitHub mají na stole další bezpečnostní incident, který nevypadá dobře. Podle zjištění Dana Goodina z Ars Technica bylo koncem minulého týdne zablokováno 73 open source balíčků. Automatické systémy GitHubu je označily jako škodlivé.

Na první pohled by se dalo říct, že podobných případů už bylo dost. Jenže tady je problém v něčem jiném. Nešlo o náhodné balíčky z podezřelého účtu, který vznikl včera. Balíčky měly působit jako důvěryhodné a navíc nesly kryptografické ověření. Pro vývojáře to tedy na první pohled mohlo vypadat jako běžná součást práce.

Škodlivý kód se měl spustit ve chvíli, kdy vývojář otevřel balíček v AI nástroji pro psaní kódu. Zmíněny byly Claude Code, Gemini CLI, Cursor i Visual Studio Code. To je na celém případu dost podstatné. Útok nemířil na běžného uživatele, který si stáhne program z internetu. Mířil přímo na lidi, kteří mají v počítači přístupy k projektům, cloudům a vývojářským službám.

GitHub balíčky stáhl, ale zpočátku to popsal jen jako porušení podmínek služby. Microsoft později uvedl, že některé repozitáře dočasně odstranil, protože vyšetřuje možný škodlivý obsah.

Problém není jen v jednom balíčku

Celé je to nepříjemné i proto, že nejde o první podobný případ. V květnu firma StepSecurity popsala kompromitaci oficiálního Microsoft balíčku durabletask na PyPI. Napadené měly být verze 1.4.1, 1.4.2 a 1.4.3. Tento balíček se používá pro Azure Durable Task Scheduler a podle StepSecurity měl okolo 400 tisíc stažení měsíčně.

V novém incidentu se mluví o malwaru Miasma. Bezpečnostní firma Cloudsmith ho spojuje s nástrojem Mini Shai-Hulud a skupinou TeamPCP. Podstatné je, že Miasma neměla jen tiše krást nějaké soubory z počítače. Podle dostupných informací šla po přístupech do AWS, Azure, Google Cloud Platform, Kubernetes, správců hesel a dalších vývojářských konfigurací.

Tady se ukazuje slabina, která je pro dnešní vývoj softwaru hodně nepříjemná. Vývojáři jsou zvyklí věřit balíčkům podle původu, podpisu a automatických kontrol. Jenže pokud útočník získá přístup správce nebo legitimní token, může se v systému chovat skoro stejně jako oprávněný vydavatel. A běžný skener pak nemusí poznat, že se dívá na škodlivou aktualizaci.

Reklama

Další články z cdr.cz

LinkedIn chce, aby vaše zkušenosti potvrdili skuteční kolegové nebo firmy

Discord zavádí kontrolu věku pro všechny. Přes 90 % uživatelů ji ani nepozná

Discord začíná celosvětově zavádět nový systém kontroly věku. Většina lidí nebude posílat občanku ani...

Když AI nakoupí špatně, kdo vrátí peníze? Banky chtějí nová pravidla

AI agent může najít zboží, vybrat nabídku a nakonec i zaplatit. Šest velkých bank ale upozorňuje, že s...

Google Gemini mělo útočit jen v laboratoři. Místo toho napadlo tři reálné firmy

Google potvrdil, že jeho modely Gemini při květnovém bezpečnostním testu omylem pronikly do systémů tří...

Kalifornie ustoupila: Paramount a Warner Bros. se přiblížily obří fúzi

Paramount Skydance se výrazně přiblížil převzetí Warner Bros. Discovery. Kalifornie a dalších jedenáct...

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Microsoft má znovu problém. Ověřené balíčky měly krást vývojářské přístupy

Armáda si nepřebírá nová děla. Zbrojaři je musí hromadit na Ostravsku

„V kavárně je přece neplynovali.“ Britská turistka šokovala svou kritikou Osvětimi

Od paneláku v Havířově k výhledu na Notre-Dame. Takhle dnes bydlí Simona Krainová

Tsewang Paljor: Muž, kterého svět 30 let znal jako Green Boots. Dnes se ukazuje, že za nejslavnějším tělem na Everestu je možná zcela jiný příběh

KVÍZ: Tohle měla doma každá babička. Dnes už málokdo pozná, k čemu věci sloužily