Scoperta una campagna su larga scala su GitHub con progetti contenenti codice dannoso nascosto in caratteri Unicode invisibili, che inganna gli sviluppatori.
© RusPhotoBank
I ricercatori di cybersecurity hanno scoperto una campagna su larga scala in cui gli attaccanti pubblicano progetti GitHub contenenti codice dannoso nascosto. Questi repository utilizzano caratteri Unicode speciali, quasi impossibili da individuare durante una revisione visiva del codice. Per gli sviluppatori, appaiono come spazi vuoti o righe, ma quando elaborati da un interprete, questo codice può decodificarsi correttamente ed eseguire azioni dannose.
Secondo gli esperti di Aikido Security, almeno 151 pacchetti preparati in questo modo sono comparsi sulla piattaforma tra il 3 e il 9 marzo. Questi progetti spesso si spacciano per librerie popolari o strumenti software noti, aumentando la possibilità che gli sviluppatori li utilizzino accidentalmente. A prima vista, il codice sembra sicuro e leggibile, ma funzioni pericolose sono nascoste all'interno di sequenze di caratteri invisibili, rendendo inefficaci i controlli manuali tradizionali nel rilevare la minaccia. Risultati simili sono già stati documentati su altre piattaforme, inclusi NPM, Open VSX e il marketplace delle estensioni di VS Code.
Gli esperti collegano la campagna a un gruppo provvisoriamente chiamato Glassworm. Identificare i suoi membri è estremamente difficile perché i repository sembrano altamente plausibili. Presentano regolarmente aggiornamenti della documentazione, cambiamenti di versione, correzioni di bug e refactoring del codice, tutti elementi che imitano lo sviluppo attivo di un progetto. Gli specialisti suggeriscono che per creare un grande volume di modifiche così realistiche, gli attaccanti potrebbero aver utilizzato modelli di AI generativa.
Tecnicamente, l'attacco sfrutta il fatto che alcuni caratteri Unicode sono visivamente indistinguibili dagli spazi vuoti, ma possono essere interpretati come caratteri dell'alfabeto latino. Di conseguenza, un piccolo decodificatore integrato estrae byte effettivi da questi simboli e li passa a una funzione di esecuzione del codice. I progetti scoperti potrebbero rappresentare solo una piccola parte dell'intera campagna, notano i ricercatori, poiché i pacchetti dannosi vengono spesso rimossi dopo aver ottenuto abbastanza download.