Foto: Magnific

Microsoft řeší další nepříjemný bezpečnostní incident spojený s open source projekty na GitHubu. Podle zjištění serveru TechCrunch společnost dočasně odstavila desítky repozitářů poté, co se v nich měl objevit škodlivý kód určený ke krádeži hesel a dalších citlivých údajů. Nešlo přitom o zapomenutý projekt neznámého autora, ale o nástroje spojené se službami Microsoft Azure a vývojářským prostředím, které používají lidé pracující s aplikacemi pro vývoj pomocí umělé inteligence.

Na problém upozornila mimo jiné bezpečnostní společnost Cloudsmith a komunitní analytický web OpenSourceMalware. Podle jejich zjištění mohl malware získávat přihlašovací údaje ve chvíli, kdy uživatel otevřel napadené nástroje v AI vývojářských aplikacích. V souvislosti s incidentem se zmiňují například Claude Code, příkazové rozhraní Gemini nebo Visual Studio Code. Právě to dělá z útoku citlivou věc. Vývojáři mají často přístup nejen ke svým účtům, ale i k firemním systémům, cloudovým službám, API klíčům a zákaznickým datům.

Microsoft incident potvrdil prostřednictvím mluvčího Bena Hopea. Ten uvedl, že společnost „dočasně odstranila některé repozitáře“, zatímco prověřuje možný škodlivý obsah. Část projektů už byla po kontrole obnovena, jiné podle něj mohou zůstat nedostupné, dokud šetření neskončí. Microsoft zároveň oznámil, že kontaktoval menší počet zákazníků, kteří si mohli obsah z napadených repozitářů stáhnout. Kolika lidí nebo firem se incident skutečně dotkl, však firma podle TechCrunch bezprostředně nesdělila.

Nejde jen o chybu v kódu. Tohle je útok na celý dodavatelský řetězec

Podle TechCrunch bylo na GitHubu vidět nejméně 70 microsoftích projektů označených jako „disabled“. Uživatelé se při pokusu o otevření repozitáře dostali pouze ke zprávě, že přístup byl zaměstnanci GitHubu zakázán kvůli porušení podmínek služby. GitHub přitom patří právě Microsoftu, což celému případu dodává zvláštní rozměr. Útok se totiž odehrál na infrastruktuře, kterou vývojáři po celém světě běžně považují za standardní a důvěryhodné místo pro sdílení kódu.

Takové incidenty se označují jako útoky na dodavatelský řetězec. Útočníci se nesnaží napadnout každého uživatele zvlášť, ale vloží škodlivý kód do nástroje, knihovny nebo projektu, který si pak lidé sami stáhnou a spustí. Pokud se jim podaří zasáhnout projekt používaný vývojáři, mohou získat mnohem cennější přístup než při běžném phishingu. Vývojářský počítač bývá často místem, kde se nacházejí tokeny, klíče, přihlašovací údaje do cloudu nebo přístupy ke zdrojovým kódům.

Znepokojivé je i to, že podle Ars Technica nejde o první podobný případ u Microsoftu v posledních týdnech. V polovině května bezpečnostní výzkumníci upozornili na kompromitaci open source projektu Durable Task, který slouží vývojářům při tvorbě aplikací. Web OpenSourceMalware nynější událost označil jako opětovnou kompromitaci projektu Durable Task. To může znamenat, že se útočníky nepodařilo při prvním zásahu úplně odstranit, případně že šlo o samostatný, ale podobně vedený útok.

Vývojáři s AI nástroji jsou pro útočníky stále cennější

Celý případ ukazuje, jak rychle se mění rizika kolem vývoje softwaru. AI nástroje dnes nefungují jen jako chytřejší našeptávače kódu. Často pracují přímo s projekty, otevírají soubory, komunikují s vývojovým prostředím a pomáhají upravovat části aplikací. Pokud se do takového procesu dostane napadený balíček nebo škodlivý repozitář, může útočník zasáhnout přesně tam, kde se potkává pohodlí, automatizace a přístup k citlivým datům.

Microsoft zatím nezveřejnil kompletní seznam postižených zákazníků ani přesný počet stažení napadeného obsahu. Firma pouze uvedla, že pokud šetření odhalí něco, co bude vyžadovat akci ze strany zákazníků, kontaktuje je přes zavedené podpůrné kanály. Pro vývojáře je to ale další připomínka, že ani známý název na GitHubu automaticky neznamená stoprocentní bezpečí.

Zdroj: TechCrunch.com