Skadlig kod gömd i GitHub-projekt med Unicode-tecken

Cybersäkerhetsforskare har avslöjat en omfattande kampanj där angripare publicerar GitHub-projekt med dold skadlig kod. Dessa förvar använder speciella Unicode-tecken som är nästan omöjliga att upptäcka vid visuell kodgranskning. För utvecklare ser de ut som tomma mellanrum eller rader, men när en tolk bearbetar dem kan koden avkodas korrekt och utföra skadliga handlingar.

Enligt experter på Aikido Security dök minst 151 paket som förberetts på detta sätt upp på plattformen mellan den 3 och 9 mars. Dessa projekt utger sig ofta för att vara populära bibliotek eller välkända programvaruverktyg, vilket ökar risken att utvecklare oavsiktligt använder dem. Vid första anblicken verkar koden säker och läsbar, men farliga funktioner är gömd i sekvenser av osynliga tecken, vilket gör traditionella manuella kontroller ineffektiva för att upptäcka hotet. Liknande fynd har redan dokumenterats på andra plattformar, inklusive NPM, Open VSX och marknadsplatsen för VS Code-tillägg.

Experter kopplar kampanjen till en grupp som preliminärt kallats Glassworm. Att identifiera dess medlemmar är extremt svårt eftersom förvaren ser mycket trovärdiga ut. De innehåller regelbundet dokumentationsuppdateringar, versionsändringar, felkorrigeringar och kodrefaktorisering – allt för att efterlikna aktiv projektutveckling. Specialister föreslår att angriparna kan ha använt generativa AI-modeller för att skapa en stor mängd sådana realistiska ändringar.

Tekniskt sett utnyttjar attacken att vissa Unicode-tecken är visuellt oskiljbara från tomma mellanrum men kan tolkas som latinska alfabetstecken. Därför extraherar en liten inbyggd avkodare faktiska byte från dessa symboler och skickar dem till en funktion för kodexekvering. De upptäckta projekten kan bara vara en liten del av hela kampanjen, noterar forskare, eftersom skadliga paket ofta tas bort efter att de samlat tillräckligt många nedladdningar.