GitHub внатрешните репозиториуми беа пробиени преку злонамерена екстензија Nx Console за VS Code

GitHub во средата официјално потврди дека пробивањето на неговите внатрешни репозиториуми било резултат на компромитација на уред на вработен преку заразена верзија на екстензијата Nx Console за Microsoft Visual Studio Code (VS Code).

Овој развој доаѓа откако тимот на Nx откри дека екстензијата nrwl.angular-console била компромитирана откако системот на еден од нивните програмери бил хакиран по неодамнешниот напад врз синџирот на снабдување поврзан со TanStack, кој исто така ги погодил OpenAI, Mistral AI и Grafana Labs.

„Немаме докази дека има влијание врз податоците на клиентите складирани надвор од внатрешните репозиториуми на GitHub, како што се претпријатијата, организациите и репозиториумите на нашите клиенти“, изјави Алексис Велс, главен директор за информациска безбедност во GitHub.

„Некои од внатрешните репозиториуми на GitHub содржат информации од клиенти, на пример, извадоци од комуникација со поддршката. Доколку се открие какво било влијание, ќе ги известиме клиентите преку воспоставените канали за одговор на инциденти и известување.“

Нападот, наводно, му овозможил на заканувачкиот актер — сајбер-криминалната група TeamPCP — да извлече околу 3.800 репозиториуми. GitHub соопшти дека презел чекори за ограничување на инцидентот и ги заменил критичните тајни клучеви, додавајќи дека продолжува да ја следи ситуацијата за дополнителни сомнителни активности.

Во објава на X, Џеф Крос, ко-основач на Narwhal Technologies, компанијата зад nx.dev, изјави: „Овој инцидент покажува дека се потребни подлабоки и пофундаментални промени во начинот на кој ние и другите одржувачи треба да размислуваме за обезбедување на програмерските алатки и дистрибуцијата на open-source софтвер.“

„Исто така започнуваме разговори со други познати open-source одржувачи за тоа како можеме заеднички да работиме на подлабоките структурни проблеми околу безбедноста на синџирот на снабдување со софтвер. Голем дел од претпоставките според кои функционираше екосистемот со години повеќе не важат.“

Во последните месеци, TeamPCP брзо стекна озлогласеност поради големи напади врз синџирот на снабдување со софтвер, особено насочени кон широко користени open-source проекти и безбедносни алатки на кои програмерите се потпираат.

Особено значајно е што тројанизираната верзија на VS Code екстензијата била достапна на Visual Studio Marketplace само 18 минути (помеѓу 12:30 и 12:48 UTC на 18 мај 2026 година). Но, и овој краток период бил доволен напаѓачите да дистрибуираат крадец на акредитиви способен да собира чувствителни податоци од vault-ови на 1Password, конфигурации на Anthropic Claude Code, npm, GitHub и Amazon Web Services (AWS).

„Екстензијата изгледаше и се однесуваше како нормален Nx Console, но при стартување тивко извршуваше една shell команда што преземаше и извршуваше скриен пакет од подметнат commit на официјалниот GitHub репозиториум nrwl/nx“, изјави Нир Задок, истражувач во OX Security. „Командата беше маскирана како рутинска задача за MCP поставување за да не предизвика сомнеж.“

Меѓусебно поврзаната природа на модерниот софтвер му овозможила на TeamPCP да создаде самоодржлив циклус на нови компромитации. Моделот што го покажува ова е едноставен, но опасен: пробиј една доверлива алатка, укради акредитиви од системите на програмерите што ја користат, а потоа искористи ги тие акредитиви за да ја пробиеш следната легитимна алатка.

„Секој популарен marketplace за екстензии има автоматско ажурирање вклучено по дифолт. VS Code, Cursor, целата понуда“, изјави Рафаел Силва, истражувач во Aikido Security. „Логиката има смисла изолирано, бидејќи повеќето програмери никогаш рачно не ажурираат ништо, па исклучувањето би значело голем број уредници да работат со застарен и ранлив код.“

„Но компромисот повеќе нема смисла кога ќе се земат предвид злонамерни или компромитирани издавачи. Автоматското ажурирање му дава на напаѓач што контролира ново издание директен канал до секоја машина што ја користи таа екстензија. Marketplace платформите не наметнуваат никаква проверка или период на чекање помеѓу објавувањето на ажурирањето и неговото автоматско преземање од клиентите.“

Извори:

• The Hacker News – GitHub Internal Repositories Breached via Malicious Nx Console VS Code Extension The Hacker News