Ново поколение зловреден код атакува AI асистентите, използвани от разработчиците.
Според проучване, нов клас атаки срещу веригата за доставка на софтуер се прикрива като легитимни действия, засегнали не само софтуерни пакети, но и AI инструменти за програмиране.
Компанията CrowdStrike публикува анализ на зловреден код, известен като SANDWORM_MODE, който е създаден специално за среди с AI асистенти. Изследователите подчертават, че става въпрос за нов тип атака, при която нападателите използват стандартни разработвачески процеси, за да прикрият злонамерените си действия.
SANDWORM_MODE е многоетапен червей за npm екосистемата, който не само компрометира пакети или компилационни системи, а атакува целия процес на разработка, в който участва изкуственият интелект.
Атаката започва с зареждащ модул, който се активира при импортиране на заразен пакет. Зловредният софтуер използва многослойно кодиране и динамично разопаковане по време на изпълнение, което затруднява откритията от статични анализи.
Кражба на идентификационни данни
След активиране, зловредният код анализира средата, за да установи дали се изпълнява на компютър на разработчик или в CI среда. След това започва да събира чувствителна информация.
Целите включват .npmrc файлове, API ключове, пароли, токени за достъп, променливи на средата и криптовалутни портфейли.
Интересен факт е, че на компютрите на разработчиците част от вредоносните действия се отлагат с 48 до 96 часа. В CI средите обаче кодът действа незабавно, тъй като тези системи често съществуват за кратко, което затруднява разследването.
Разпространение чрез компрометирани акаунти
SANDWORM_MODE прилага механизми за саморазпространение чрез откраднати идентификационни данни.
Ако получи достъп до npm токени, той може да открие всички пакети на компрометирания издател, да инжектира вредоносен код и да публикува заразени версии. При наличието на GitHub API токени, зловредният код може да обходи хранилищата, да добави нова зависимост и да направи автоматичен commit или pull request.
Когато API достъп липсва, червеят използва SSH удостоверяване, за да клонира хранилища и да изпрати промените обратно.
Той осигурява постоянно присъствие в компрометираната система чрез злонамерени Git pre-commit и pre-push hooks, записани в глобалните Git шаблони, така че новите проекти автоматично да наследяват вредоносните скриптове.
AI асистентите също стават мишена
Една от интересните характеристики на SANDWORM_MODE е насочеността му към AI инструментите за разработка.
Зловредният код инсталира фалшив MCP сървър в скрита директория и добавя конфигурации, за да изглежда надежден за инструменти като Claude Desktop, Cursor, Visual Studio Code и Windsurf.
Компрометираният MCP сървър подава инструкции на AI асистентите да предадат SSH ключове, AWS идентификационни данни, npm токени и други чувствителни данни.
Зловредният код също търси API ключове за девет различни доставчици на езикови модели, извличайки ги от променливите на средата и .env файловете.
Според изследователите, това показва промяна в модела на риска. Целта не е само програмният код и пакетите, а и доверието между разработчика и AI асистента.
Все по-трудно откриваеми атаки
Инженерите на CrowdStrike идентифицирали 14 характерни поведения на SANDWORM_MODE. Девет от тях могат да бъдат засечени, но само две генерират предупреждения за клиентите.
Около 65% от механизмите за откритие вече са внедрени, а останалите са отпаднали, тъй като зловредните действия почти не се различават от нормалните процеси в разработката.
Това е основното предизвикателство, подчертано в изследването. Команди, създаване на файлове и взаимодействие с API са стандартно поведение за много AI асистенти, което затруднява разграничаването между легитимна и злонамерена активност.