Badacze cyberbezpieczeństwa odkryli nowy złośliwy pakiet npm, zaprojektowany do kradzieży plików lokalnych ze środowisk deweloperskich, w tym danych powiązanych z narzędziami Claude AI firmy Anthropic.
Pakiet o nazwie mouse5212-super-formatter został opublikowany w rejestrze npm i został powiązany z kampanią o kryptonimie Malware-Slop, nadanym przez OX Security.
Na pierwszy rzut oka pakiet przedstawia się jako narzędzie do wdrażania archiwów i synchronizacji repozytoriów. W rzeczywistości jest to program kradnący informacje (infostealer), który próbuje zebrać lokalne pliki z przestrzeni roboczej i wysłać je na konto GitHub kontrolowane przez cyberprzestępcę.
Incydent jest kolejnym przykładem tego, jak atakujący coraz częściej celują w narzędzia deweloperskie, procesy pracy wspomagane przez AI i ekosystemy pakietów open source.
Co robi złośliwy pakiet
Według OX Security pakiet został zaprojektowany do przesyłania plików z:
/mnt/user-data
Ten katalog jest używany przez narzędzia Claude AI firmy Anthropic do obsługi przesłanych plików i generowanych wyników w tle.
Czyni to pakiet szczególnie niepokojącym, ponieważ przestrzenie robocze AI mogą zawierać wrażliwe materiały, takie jak:
- kod źródłowy
- dokumenty przesłane do analizy
- notatki projektowe
- pliki konfiguracyjne
- wygenerowane wyniki
- próbki danych wewnętrznych
- poświadczenia przypadkowo zawarte w plikach
- dane klientów lub dane biznesowe używane w procesach pracy wspomaganych przez AI
Celując w ten katalog, złośliwe oprogramowanie wydaje się koncentrować na danych tworzonych lub przetwarzanych podczas zadań programistycznych i analitycznych wspomaganych przez AI.
Przebrane za legalne narzędzie synchronizacji
Złośliwe oprogramowanie próbuje wyglądać jak wewnętrzne narzędzie do synchronizacji wdrożeń archiwów.
Badacze ustalili, że udaje ono sprawdzanie lub inicjalizację repozytorium GitHub, tworzy lekką migawkę „stanu sieci” i synchronizuje lokalne pliki przestrzeni roboczej ze zdalnym drzewem śledzącym.
Ten opis brzmi nieszkodliwie i wystarczająco technicznie, by nie budzić podejrzeń.
Jednak w tle pakiet przeprowadza nieautoryzowane zbieranie danych i eksfiltrację plików.
Jego zachowanie obejmuje:
- uwierzytelnianie w GitHub na etapie postinstall
- użycie tokenu GitHub znalezionego w środowisku ofiary
- przejście na token GitHub zapisany na stałe w kodzie, jeśli zajdzie taka potrzeba
- sprawdzanie, czy docelowe repozytorium istnieje
- utworzenie repozytorium, jeśli nie istnieje
- rekurencyjne przesyłanie lokalnych plików na konto GitHub kontrolowane przez atakującego
Wykorzystanie etapu postinstall jest istotne, ponieważ złośliwy kod może uruchomić się automatycznie podczas instalacji pakietu.
Oznacza to, że deweloper nie musi ręcznie uruchamiać pakietu, aby złośliwe oprogramowanie zaczęło działać.
GitHub jako kanał eksfiltracji
Zamiast wysyłać skradzione dane na tradycyjny serwer dowodzenia i kontroli, pakiet przesyła pliki do GitHub.
Skradzione pliki są przechowywane w folderach o losowych nazwach, co prawdopodobnie pozwala atakującemu rozdzielać i śledzić sesje poszczególnych ofiar.
Ta technika może pomóc atakującym wtopić złośliwą aktywność w zwykłe procesy pracy deweloperów. Ruch do GitHub jest powszechny w środowiskach deweloperskich, więc przesyłanie danych może nie rzucać się w oczy, chyba że organizacje monitorują nietypowe tworzenie repozytoriów, użycie tokenów lub wychodzącą aktywność GitHub.
Złośliwe oprogramowanie zapisuje także fałszywy log „połączeń sieciowych”, najwyraźniej po to, by jego zachowanie wyglądało jak raportowanie diagnostyczne.
To technika wprowadzania w błąd. Daje użytkownikom lub obrońcom nieszkodliwe wyjaśnienie, ukrywając prawdziwy cel: nieautoryzowane zbieranie i zdalny transfer danych lokalnych.
Słabe OPSEC sugeruje tworzenie złośliwego oprogramowania z pomocą AI
Jednym z godnych uwagi szczegółów jest to, że pakiet według doniesień ujawnił informacje o koncie GitHub atakującego, w tym prywatny token.
Wskazuje to na słabe bezpieczeństwo operacyjne.
OX Security zasugerował, że może to oznaczać, iż złośliwe oprogramowanie zostało wygenerowane lub stworzone przy wsparciu AI, a atakujący nie do końca rozumiał, jak zabezpieczyć własną operację.
To ważny trend.
Ponieważ generatywna AI obniża barierę tworzenia działającego kodu, coraz więcej mało doświadczonych lub oportunistycznych cyberprzestępców może publikować złośliwe pakiety. Efektem może być więcej „niechlujnego złośliwego oprogramowania” (sloppy malware), które technicznie działa, ale jest źle zbudowane, słabo ukryte i operacyjnie niedbałe.
Nawet niechlujne złośliwe oprogramowanie może być niebezpieczne, jeśli wykradnie wrażliwe pliki, zanim zostanie wykryte.
Dlaczego przestrzenie robocze AI stają się celem
Celowanie w katalogi przestrzeni roboczej związane z Claude odzwierciedla szerszą zmianę w krajobrazie zagrożeń.
Deweloperzy i analitycy coraz częściej używają narzędzi AI do przeglądu kodu, streszczania dokumentów, generowania skryptów, diagnozowania systemów i przetwarzania danych biznesowych. Te procesy pracy mogą wiązać się z przesyłaniem wrażliwych plików do lokalnych lub połączonych z chmurą środowisk AI.
To tworzy nową powierzchnię ataku.
Przestrzenie robocze AI mogą zawierać pliki tymczasowe, kopie robocze, wygenerowane wyniki i kontekst, który użytkownicy uznają za prywatny lub krótkotrwały.
Atakujący rozumieją, że te katalogi mogą zawierać cenne materiały, zwłaszcza w środowiskach deweloperskich, gdzie użytkownicy często pracują z kodem źródłowym, poświadczeniami, dokumentacją wewnętrzną i danymi projektowymi.
npm nadal jest ryzykownym celem w łańcuchu dostaw
Ekosystem npm nadal jest intensywnie atakowany, ponieważ jest powszechnie używany i łatwo w nim publikować.
Złośliwe pakiety npm często stosują taktyki takie jak:
- typosquatting
- dependency confusion
- skrypty postinstall
- zbieranie poświadczeń
- kradzież danych ze schowka
- kradzież portfeli kryptowalut
- eksfiltracja kodu źródłowego
- kradzież danych z przeglądarek
- kradzież poświadczeń chmurowych
- ukryte pobieranie ładunków
Kampania Malware-Slop wpisuje się w ten schemat, ale z godnym uwagi akcentem na AI: celuje w pliki związane z obsługą przestrzeni roboczej Claude.
Pokazuje to, jak szybko atakujący dostosowują się do nowych nawyków deweloperów i popularnych narzędzi AI.
Dlaczego deweloperzy powinni się tym przejmować
Złośliwy pakiet zainstalowany podczas tworzenia oprogramowania może ujawnić znacznie więcej niż jeden projekt.
W zależności od środowiska lokalnego może uzyskać dostęp do:
- kodu źródłowego
- plików
.env - kluczy SSH
- tokenów GitHub
- tokenów npm
- poświadczeń chmurowych
- lokalnych plików konfiguracyjnych
- danych przestrzeni roboczej AI
- dokumentów przesłanych do przeglądu przez AI
- wygenerowanych skryptów lub wyników
Jeśli maszyna dewelopera zostanie skompromitowana, atakujący mogą wykorzystać skradzione dane, aby uzyskać dostęp do repozytoriów, publikować złośliwe pakiety, kompromitować potoki CI/CD lub zagłębiać się w sieć organizacji.
Urządzenia końcowe deweloperów są dziś cennymi celami, ponieważ znajdują się na styku kodu, poświadczeń, automatyzacji i kontekstu biznesowego.
Co powinni zrobić deweloperzy
Deweloperzy powinni zachować ostrożność przy instalowaniu nieznanych pakietów npm, zwłaszcza tych o niskiej reputacji, niedawnej dacie utworzenia, mglistych opisach lub zbędnych skryptach instalacyjnych.
Zalecane działania obejmują:
- unikanie instalowania nieznanych pakietów bez przeglądu
- sprawdzanie skryptów pakietu przed instalacją
- używanie
npm install --ignore-scriptspodczas testowania niezaufanych pakietów - sprawdzanie właściciela pakietu, jego wieku i wzorców pobrań
- przeglądanie kodu źródłowego przed dodaniem zależności
- korzystanie z narzędzi do skanowania zależności
- unikanie przechowywania wrażliwych plików w katalogach przestrzeni roboczej AI
- niewłączanie sekretów do przesyłanych plików analitycznych
- rotację tokenów, jeśli zainstalowano podejrzane pakiety
- monitorowanie nieoczekiwanego tworzenia repozytoriów GitHub lub przesyłania do nich plików
Jeśli zainstalowano mouse5212-super-formatter, system należy traktować jako potencjalnie skompromitowany.
Co powinny przejrzeć organizacje
Zespoły ds. bezpieczeństwa powinny rozszerzyć monitorowanie łańcucha dostaw o procesy pracy deweloperów wspomagane przez AI.
Zalecane kroki obejmują:
- przeszukanie urządzeń końcowych i repozytoriów pod kątem
mouse5212-super-formatter - przegląd logów instalacji npm i plików lockfile
- monitorowanie dostępu do
/mnt/user-data - przegląd wychodzącej aktywności GitHub z maszyn deweloperów
- sprawdzenie, czy nie ma nieoczekiwanych repozytoriów lub commitów GitHub
- identyfikację tokenów GitHub używanych z nietypowych systemów
- rotację ujawnionych poświadczeń GitHub, npm, SSH i chmurowych
- skanowanie katalogów przestrzeni roboczej AI pod kątem wrażliwych plików
- przegląd telemetrii z urządzeń końcowych pod kątem uruchamiania skryptów postinstall
- egzekwowanie zasady najmniejszych uprawnień dla tokenów deweloperskich
- ograniczenie instalacji pakietów w wrażliwych środowiskach
- używanie wewnętrznych serwerów lustrzanych pakietów lub list dozwolonych tam, gdzie to możliwe
Organizacje powinny też zaktualizować wytyczne bezpieczeństwa dla deweloperów, uwzględniając higienę przestrzeni roboczych AI.
Narzędzia AI zmieniają model ekspozycji danych
Rozwój asystentów programistycznych i narzędzi analitycznych opartych na AI zmienia sposób, w jaki wrażliwe dane przepływają przez środowiska deweloperskie.
Pliki mogą być kopiowane, przesyłane, przekształcane, streszczane, buforowane lub tymczasowo przechowywane w ramach procesu pracy z AI. Tworzy to nowe miejsca, w których mogą gromadzić się wrażliwe informacje.
Programy bezpieczeństwa powinny uwzględniać:
- lokalne katalogi przestrzeni roboczej AI
- tymczasowe foldery przesyłania
- katalogi z wygenerowanymi wynikami
- pliki konfiguracyjne asystentów AI
- pliki kontekstu modeli
- magazyn wtyczek lub rozszerzeń
- dane sesji AI w przeglądarce
Atakujący będą nadal szukać tych lokalizacji, ponieważ mogą one zawierać cenne dane w słabiej chronionych miejscach.
Podsumowanie
Kampania Malware-Slop pokazuje, jak szybko atakujący dostosowują się do procesów programistycznych wspomaganych przez AI.
Złośliwy pakiet npm mouse5212-super-formatter może być źle zbudowany i operacyjnie niechlujny, ale jego cel jest jasny: wykraść lokalne pliki przestrzeni roboczej i wysłać je przez GitHub.
Skupienie na katalogu /mnt/user-data należącym do Claude to sygnał ostrzegawczy. Przestrzenie robocze AI stają się częścią powierzchni ataku na łańcuch dostaw oprogramowania.
Deweloperzy i organizacje powinni traktować wygenerowane przez AI przestrzenie robocze, lokalne dane tymczasowe, instalacje pakietów i tokeny deweloperskie jako wrażliwe zasoby.
Nowoczesny łańcuch dostaw nie ogranicza się już do repozytoriów kodu źródłowego i rejestrów pakietów. Obejmuje teraz także narzędzia AI i lokalne przestrzenie robocze, z których deweloperzy korzystają na co dzień.
