Нови заплахи за разработчиците: Зловреден код атакува AI асистентите
Зловреден код от ново поколение застрашава не само софтуерните пакети и хранилищата с код, но и AI асистентите, използвани от разработчиците при програмирането. Изследване показва, че с разширяването на AI-базираните среди за разработка се появява нов клас атаки, насочени към веригата за доставка на софтуер, които се маскират като легитимни действия.
Компанията за киберсигурност CrowdStrike публикува анализ на зловреден код, известен като SANDWORM_MODE, създаден специално за среди, в които се използват AI асистенти за програмиране. Според изследователите, става въпрос за нов тип атака, при която нападателите използват стандартни процеси в разработката, за да прикрият злонамерените си действия.
SANDWORM_MODE представлява многоетапен червей за екосистемата npm, който не се ограничава единствено до компрометиране на пакети или компилационни системи. Вместо това той атакува целия процес на разработка, в който изкуственият интелект играе активна роля.
Атаката започва с прикрит модул, който се активира при импортиране на заразен пакет. Зловредният софтуер използва множество слоеве на кодиране и динамично разопаковане по време на изпълнение, което значително затруднява инструментите за статичен анализ да го открият.
Кражба на ключове и идентификационни данни
След активиране, зловредният код анализира средата, за да определи дали работи на компютър на разработчик или в CI среда за непрекъсната интеграция. След това започва да събира чувствителна информация.
Сред целите са файловете .npmrc, API ключове, пароли, токени за достъп, променливи на средата и дори ключове за криптовалутни портфейли.
Интересен факт е, че на компютрите на разработчиците част от вредоносните действия се отлагат с между 48 и 96 часа. В CI средите обаче кодът действа незабавно, тъй като тези системи често съществуват за кратко време. Това разминаване затруднява разследването, защото първоначалното инсталиране и последващите злонамерени действия се случват в различни времеви прозорци.
Разпространение чрез компрометирани акаунти
SANDWORM_MODE използва няколко механизма за саморазпространение чрез откраднати идентификационни данни.
Ако получи достъп до npm токени, той може да открие всички пакети на компрометирания издател, да инжектира вредоносен код и да публикува заразени версии. При наличие на GitHub API токени, зловредният код може да обходи достъпните хранилища, да добави нова зависимост, да направи автоматичен commit или pull request и дори да създаде workflow, който да се изпълнява в основното хранилище.
Когато API достъп липсва, червеят използва SSH удостоверяване, за да клонира хранилища, да ги модифицира и да изпрати промените обратно.
Освен това той осигурява постоянно присъствие в компрометираната система чрез злонамерени Git pre-commit и pre-push hooks, записани в глобалните Git шаблони. Така всеки нов проект, създаден или клониран на заразения компютър, автоматично „наследява“ вредоносните скриптове.
AI асистентите също стават мишена
Една от най-интересните характеристики на SANDWORM_MODE е насочеността му към AI инструментите за разработка.
Зловредният код инсталира фалшив MCP сървър в скрита директория и добавя конфигурации, така че той да изглежда като надежден доставчик на инструменти за приложения като Claude Desktop, Cursor, Visual Studio Code и Windsurf.
След това компрометираният MCP сървър подава инструкции към AI асистентите да прочетат и изпратят към нападателите SSH ключове, AWS идентификационни данни, npm токени и други чувствителни тайни чрез самия интерфейс на AI инструмента.
Паралелно с това зловредният код търси API ключове за девет различни доставчици на езикови модели, като ги извлича от променливите на средата и файловете .env.
Според авторите на изследването, това показва промяна в модела на риска. Цел вече не са единствено програмният код и пакетите, а и доверието между разработчика и AI асистента, който участва в ежедневната работа.
Все по-трудно откриваеми атаки
След анализа на кампанията, инженерите на CrowdStrike са идентифицирали 14 характерни поведения на SANDWORM_MODE. Девет от тях могат да бъдат засечени по някакъв начин, но само две генерират предупреждения, които достигат до клиентите.
Около 65% от разработените механизми за откриване вече са внедрени. Останалите са отпаднали, защото злонамерените действия практически не се различават от нормалните процеси в съвременната разработка, като публикуване на npm пакети, работа с Git, автоматизирани CI/CD процеси и управление на идентификационни данни.
Това е и основното предизвикателство, подчертано в изследването. Команди, създаване на файлове, стартиране на процеси и взаимодействие с API вече са стандартно поведение за много AI асистенти за програмиране, което прави разграничаването между легитимна и злонамерена активност значително по-трудно.
