Злоумышленники получили доступ к учетным записям разработчиков и запустили вредоносный код для кражи паролей и облачных ключей из процессов сборки программ. Об этом сообщает «Хайтек» со ссылкой на The Hacker News.
Масштабная атака стартовала во вторник, 10 ноября 2026 года, выяснили специалисты по кибербезопасности из компании Aikido Security. Хакеры воспользовались ранее украденными паролями, захватили 4837 учетных записей на платформе GitHub и начали вносить изменения в открытые и закрытые проекты от имени легитимных владельцев. Чтобы проверить наличие прав на запись, атакующие сначала рассылали тестовый запрос на изменение кода с заголовком docs: dependency audit notes из ветки wfx-docs, охватив 61 764 репозитория.
Затем злоумышленники встроили программу-стилер (вредоносное ПО для скрытого сбора и кражи конфиденциальных данных) в 7309 сценариев автоматизации GitHub Actions, а еще в 771 проекте спрятали вирус в виде npm-хука, который срабатывает на компьютере программиста при установке программных пакетов. По оценке аналитиков из SafeDep, всего вредоносные изменения затронули 8093 репозитория, а сам стилер успел сработать минимум в 1806 проектах. После отправки вредоносного кода хакеры обычно сразу откатывали правки и подчищали системные журналы, чтобы скрыть следы взлома.
Вредоносная программа целенаправленно собирает токены доступа GitHub Actions, ключи от облачных платформ AWS, Azure и Google Cloud, а также пароли от репозиториев npm, PyPI и защищенных протоколов SSH. Кроме того, вирус копирует сам исходный код, последние 100 коммитов (зафиксированных изменений в проекте) и файлы сборки, после чего отправляет украденный архив на серверы злоумышленников и в закрытый канал в Telegram. Атака уже затронула популярные пакетные менеджеры: зараженная версия попала в пакет digitalelvis/neuronai-studio, а два релиза Go-модуля docker-env содержат вредоносный код в файле настроек.
Эксперты по безопасности связывают инцидент с октябрьской волной взломов, когда хакеры скомпрометировали около 1900 профилей и повторно использовали часть старых учетных данных. Специалисты рекомендуют всем затронутым разработчикам немедленно отозвать старые токены и SSH-ключи, сменить пароли и включить двухфакторную аутентификацию.
Обложка: magnific
