Campanie de atac pe GitHub cu cod rău intenționat ascuns în caractere Unicode

Cercetătorii în domeniul securității cibernetice au descoperit o campanie de amploare în care atacatorii postează pe GitHub proiecte care conțin cod rău intenționat ascuns. Aceste depozite utilizează caractere Unicode speciale, aproape imposibil de observat în timpul unei verificări vizuale a codului. Pentru dezvoltatori, acestea apar ca spații goale sau linii, dar atunci când sunt procesate de un interpretor, codul poate fi decodat corect și poate executa acțiuni dăunătoare.

Conform experților de la Aikido Security, cel puțin 151 de pachete pregătite în acest fel au apărut pe platformă între 3 și 9 martie. Aceste proiecte se deghizează adesea ca biblioteci populare sau instrumente software cunoscute, crescând șansa ca dezvoltatorii să le folosească accidental. La prima vedere, codul pare sigur și lizibil, dar funcții periculoase sunt ascunse în secvențe de caractere invizibile, făcând verificările manuale tradiționale ineficiente în detectarea amenințării. Constatări similare au fost deja documentate pe alte platforme, inclusiv NPM, Open VSX și piața de extensii VS Code.

Experții asociază campania cu un grup denumit provizoriu Glassworm. Identificarea membrilor săi este extrem de dificilă, deoarece depozitele par foarte credibile. Acestea prezintă în mod regulat actualizări ale documentației, schimbări de versiune, remedieri de erori și refactorizări de cod—toate imitând dezvoltarea activă a proiectului. Specialiștii sugerează că pentru a crea un volum mare de astfel de modificări realiste, atacatorii ar fi putut folosi modele de inteligență artificială generativă.

Din punct de vedere tehnic, atacul exploatează faptul că unele caractere Unicode sunt vizual indistinguibile de spații goale, dar pot fi interpretate ca caractere ale alfabetului latin. Ca urmare, un mic decodor integrat extrage octeți reali din aceste simboluri și îi transmite unei funcții de execuție a codului. Proiectele descoperite pot reprezenta doar o mică parte a întregii campanii, notează cercetătorii, deoarece pachetele malitioase sunt adesea eliminate după ce au acumulat suficiente descărcări.