Χάκερ που διακυβεύουν προγραμματιστές με κακόβουλο κώδικα VS, επεκτάσεις AI δρομέα

Τα εργαλεία προγραμματιστών που χρησιμοποιούνται από εκατομμύρια προγραμματιστές παγκοσμίως έχουν γίνει πρωταρχικός στόχος για επιτιθέμενους που επιδιώκουν να παραβιάσουν ολόκληρους οργανισμούς.

Ο κώδικας του Visual Studio και τα IDE με τεχνητή νοημοσύνη, όπως το Cursor AI, όταν συνδυάζονται με τις αγορές επεκτάσεών τους, παρουσιάζουν μια κρίσιμη ευπάθεια στην αλυσίδα εφοδιασμού λογισμικού.

Σε αντίθεση με τους κανονικούς χρήστες, οι προγραμματιστές έχουν πρόσβαση σε ευαίσθητα διαπιστευτήρια, αποθετήρια πηγαίου κώδικα και συστήματα παραγωγής, καθιστώντας τους πολύτιμους στόχους για εξελιγμένους παράγοντες απειλών.

Μια νέα ανησυχία για την ασφάλεια έχει εμφανιστεί, που δείχνει ότι η δημοσίευση κακόβουλων επεκτάσεων σε αυτές τις αγορές είναι ανησυχητικά απλή.

Ο φορέας επίθεσης εκμεταλλεύεται την εμπιστοσύνη των προγραμματιστών στα καθημερινά περιβάλλοντα ανάπτυξης τους, παρακάμπτοντας πολλαπλά επίπεδα προστασίας που σχεδιάστηκαν για να διατηρούν αυτές τις πλατφόρμες ασφαλείς.

Αποκρύπτοντας τον επιβλαβή κώδικα ως νόμιμα εργαλεία, οι εισβολείς μπορούν να αποκτήσουν μόνιμη πρόσβαση σε μηχανές προγραμματιστών χωρίς να ενεργοποιούν τυπικούς συναγερμούς ασφαλείας.

Ένας μηχανικός κυβερνοασφάλειας, ο Mazin Ahmed, αναγνωρισθείς και κατέγραψε τον τρόπο με τον οποίο οι εισβολείς δημοσιεύουν επιτυχώς backdoors μέσω αυτών των αγορών επέκτασης.

Η έρευνα του Ahmed έδειξε ότι μια κακόβουλη επέκταση Python linter που ονομάζεται Piithon-linter, με σκόπιμα ορθογραφικά λάθη για να αποφευχθεί ο άμεσος εντοπισμός, πέρασε από τον έλεγχο ασφαλείας της Microsoft και έγινε διαθέσιμη στο VS Code Marketplace.

Διήθηση μεταβλητών περιβάλλοντος

Αυτή η δυνατότητα επέτρεψε στους εισβολείς να διεισδύσουν σε μεταβλητές περιβάλλοντος που περιέχουν ευαίσθητα διαπιστευτήρια και να αναπτύξουν εργαλεία απομακρυσμένης πρόσβασης κατά την εγκατάσταση.

Η πιο ανησυχητική πτυχή αυτής της επίθεσης περιλαμβάνει τον τρόπο με τον οποίο το κακόβουλο λογισμικό διατηρεί την επιμονή και αποφεύγει τα συστήματα ανίχνευσης.

Κατά την εκκίνηση του VS Code, η κακόβουλη επέκταση εκτελείται αυτόματα χωρίς να απαιτείται αλληλεπίδραση με τον χρήστη, χάρη στα συμβάντα ενεργοποίησης που καθορίζονται στη διαμόρφωση της επέκτασης.

Ο κώδικας της επέκτασης σαρώνει πρώτα για την εκτέλεση λύσεων εντοπισμού ιών ή τελικού σημείου. Εάν εντοπιστεί λογισμικό ασφαλείας, το κακόβουλο λογισμικό σταματά την εκτέλεση.

Ωστόσο, εάν το σύστημα φαίνεται ασφαλές, η επέκταση προχωρά στη συλλογή μεταβλητών περιβάλλοντος και στην ανάπτυξη ενός πράκτορα εντολής και ελέγχου Merlin που παρέχει στους εισβολείς πλήρη απομακρυσμένη πρόσβαση.

Η επέκταση μπορεί ακόμη και να καθορίσει το λειτουργικό σύστημα κατά την εκτέλεση, επιτρέποντάς του να εκτελέσει το κατάλληλο ωφέλιμο φορτίο για συστήματα Windows, macOS ή Linux. Η έρευνα αποκάλυψε θεμελιώδη κενά στον έλεγχο ασφαλείας.

Η ανάλυση sandbox της Microsoft, η οποία υποτίθεται ότι δοκιμάζει επεκτάσεις σε ελεγχόμενο περιβάλλον, παρακάμφθηκε μέσω τεχνικών geofencing που εντόπισαν πότε εκτελούνταν ο κώδικας στην υποδομή δοκιμών της Microsoft που εδρεύει στις Ηνωμένες Πολιτείες.

Το OpenVSX, η αγορά που τροφοδοτεί το Cursor AI και άλλα IDE που λειτουργούν με AI, δεν εκτελεί ουσιαστικά καμία επαλήθευση ασφαλείας, βασιζόμενη μόνο στις αναφορές χρηστών και τους όρους συμφωνίας.

Αυτές οι ανακαλύψεις υπογραμμίζουν μια ανησυχητική πραγματικότητα: ο επόμενος σημαντικός συμβιβασμός στην αλυσίδα εφοδιασμού μπορεί να προέρχεται από τους συντάκτες και τους προγραμματιστές τους οποίους εμπιστεύονται και χρησιμοποιούν καθημερινά.

Χωρίς ενισχυμένους ελέγχους ασφαλείας και μηχανισμούς επαλήθευσης, αυτά τα ζωτικής σημασίας εργαλεία ανάπτυξης παραμένουν επικίνδυνα εκτεθειμένα σε συντονισμένες επιθέσεις.