Зловреден код от ново поколение атакува не само софтуерните пакети и хранилищата с изходен код, но и AI асистентите, които разработчиците все по-често използват при програмиране. Изследване показва, че с разширяване на AI-базираните среди за разработка се появява нов клас атаки срещу веригата за доставка на софтуер, които се прикриват като напълно легитимни действия.
Компанията за киберсигурност CrowdStrike публикува анализ на зловреден код, наречен SANDWORM_MODE, който е разработен специално за среди, използващи AI асистенти за програмиране. Според изследователите, става дума за нов тип атака срещу веригата за доставка на софтуер, при която нападателите използват обичайните процеси в разработката, за да прикрият злонамерените си действия.
SANDWORM_MODE представлява многоетапен червей за екосистемата npm, който не се ограничава до компрометиране на пакети или системи за компилация. Вместо това той атакува целия процес на разработка, в който изкуственият интелект участва активно.
Атаката започва с прикрит зареждащ модул, който се активира при импортиране на заразен пакет. Зловредният софтуер използва няколко слоя кодиране и динамично разопаковане по време на изпълнение, което значително затруднява инструментите за статичен анализ при откриването му.
Кражба на ключове и идентификационни данни
След активиране зловредният код анализира средата, за да установи дали работи на компютър на разработчик или в CI среда за непрекъсната интеграция. След това започва събиране на чувствителна информация.
Сред целите са файловете .npmrc, API ключове, пароли, токени за достъп, променливи на средата и дори ключове за криптовалутни портфейли.
Любопитна особеност е, че на компютрите на разработчиците част от вредоносните действия се отлагат с между 48 и 96 часа. В CI средите обаче кодът действа незабавно, тъй като тези системи често съществуват за кратко време. Това разминаване затруднява разследването, защото първоначалното инсталиране и последващите злонамерени действия се появяват в различни времеви прозорци.
Разпространение чрез компрометирани акаунти
SANDWORM_MODE използва няколко механизма за саморазпространение чрез откраднати идентификационни данни.
Ако получи достъп до npm токени, той може да открие всички пакети на компрометирания издател, да инжектира вредоносен код и да публикува заразени версии. При наличие на GitHub API токени зловредният код може да обходи достъпните хранилища, да добави нова зависимост, да направи автоматичен commit или pull request и дори да създаде workflow, който да се изпълнява в основното хранилище.
Когато API достъп липсва, червеят използва SSH удостоверяване, за да клонира хранилища, да ги модифицира и да изпрати промените обратно.
Освен това той осигурява постоянно присъствие в компрометираната система чрез злонамерени Git pre-commit и pre-push hooks, записани в глобалните Git шаблони. Така всеки нов проект, създаден или клониран на заразения компютър, автоматично „наследява“ вредоносните скриптове.
AI асистентите също стават мишена
Една от най-интересните характеристики на SANDWORM_MODE е насочеността му към AI инструментите за разработка.
Зловредният код инсталира фалшив MCP сървър в скрита директория и добавя конфигурации, така че той да изглежда като надежден доставчик на инструменти за приложения като Claude Desktop, Cursor, Visual Studio Code и Windsurf.
След това компрометираният MCP сървър подава инструкции към AI асистентите да прочетат и изпратят към нападателите SSH ключове, AWS идентификационни данни, npm токени и други чувствителни тайни чрез самия интерфейс на AI инструмента.
Паралелно с това зловредният код търси API ключове за девет различни доставчици на езикови модели, като ги извлича от променливите на средата и файловете .env.
Според авторите на изследването, това показва промяна в модела на риска. Цел вече не са единствено програмният код и пакетите, а и доверието между разработчика и AI асистента, който участва в ежедневната работа.
Все по-трудно откриваеми атаки
След анализа на кампанията инженерите на CrowdStrike са идентифицирали 14 характерни поведения на SANDWORM_MODE. Девет от тях могат да бъдат засечени по някакъв начин, но само две генерират предупреждения, които достигат до клиентите.
Около 65% от разработените механизми за откриване вече са внедрени. Останалите са отпаднали, защото злонамерените действия практически не се различават от нормалните процеси в съвременната разработка, като публикуване на npm пакети, работа с Git, автоматизирани CI/CD процеси и управление на идентификационни данни.
Това е и основното предизвикателство, подчертано в изследването. Команди, създаване на файлове, стартиране на процеси и взаимодействие с API вече са стандартно поведение за много AI асистенти за програмиране, което прави разграничаването между легитимна и злонамерена активност значително по-трудно.
