Вредоносное расширение использовало локальных ИИ-ассистентов для кражи учетных данных

В период с 27 по 28 февраля кампания hackerbot-claw затронула шесть известных репозиториев с открытым исходным кодом. Наиболее серьёзный инцидент произошёл в репозитории Trivy компании Aqua Security: злоумышленник получил доступ на уровне организации, изменил репозиторий и опубликовал вредоносное расширение для VS Code. Оно задействовало локально установленных ИИ-ассистентов для поиска и вывода конфиденциальных данных.

Атаки на рабочие процессы и репозиторий Trivy

Для атак на проект Microsoft по обнаружению ИИ и сканер IaC от DataDog злоумышленник использовал полезные нагрузки для инъекции команд в оболочку. Код внедрялся через имена веток, заголовки запросов на слияние и имена файлов. Среди приёмов были расширение фигурных скобок, подстановка ${IFS}, подстановка команд, содержимое в кодировке base64 и варианты на основе Unicode. В нескольких случаях результат выполнения остался неопределённым, а в других выполнение удалось предотвратить благодаря оперативному устранению уязвимости.

В репозитории Trivy рабочий процесс pull_request_target получал код из форка и запускал составное действие из этого кода. В результате вредоносный код мог выполняться с учётными данными репозитория. Злоумышленник получил токен с правами на уровне организации, отправил изменения непосредственно в ветку по умолчанию, сделал репозиторий приватным и удалил 97 релизов вместе со связанными артефактами.

Вредоносное расширение и атака на ИИ-рецензента

Опубликованное расширение для VS Code появилось в OpenVSX и маркетплейсе Visual Studio Code. Позднее его связали с CVE-2026-28353. При активации рабочей области расширение скрытно запускало командно-строковые инструменты Claude, Codex, Gemini, Copilot и Kiro, используя флаги с широкими разрешениями.

Промпт, составленный с применением социальной инженерии, предписывал ИИ-агентам искать SSH-ключи, облачные учётные данные, API-токены, финансовую информацию и каналы для исходящей связи, а затем выводить найденные данные наружу. В более поздней версии расширения использовался аутентифицированный контекст GitHub жертвы. Активность при этом маскировалась под легитимный трафик GitHub API, а не под взаимодействие с очевидным сервером управления.

Злоумышленник также попытался повлиять на ИИ-рецензента кода: заменил файл CLAUDE.md в репозитории инструкциями по вандализму документации, внесению несанкционированных изменений и выдаче ложного одобрения. Claude Code обнаружил и отклонил первоначальную и изменённую попытки внедрения в течение нескольких минут. Это единственный задокументированный контроль, который непосредственно предотвратил выполнение.

Другие эпизоды и меры защиты

В pull request репозитория awesome-go использовали вредоносную функцию Go init(), чтобы получить и выгрузить GITHUB_TOKEN. В проекте Akri атакующие внесли однострочное изменение в shell-скрипт. Кампания оценивается как управляемая человеком, при этом большая языковая модель (LLM) генерировала полезную нагрузку и автоматизировала выполнение.

Авторы отчёта рекомендуют:

• не допускать выполнения кода из форков в рабочих процессах pull_request_target;
• минимизировать разрешения токенов;
• защищать конфигурационные файлы ИИ;
• отслеживать расширения интегрированных сред разработки на предмет неожиданных процессов ИИ-агентов и получения учётных данных.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.