Пет малициозни Rust пакети и AI бот ги искористуваат CI/CD pipeline-ите за кражба на тајни податоци од програмери

Истражувачите за сајбер-безбедност открија пет малициозни Rust пакети (crates) кои се претставуваат како алатки поврзани со време, но всушност испраќаат податоци од .env датотеки до напаѓачите.

Rust пакетите, објавени на crates.io, се следните:

• chrono_anchor
• dnp3times
• time_calibrator
• time_calibrators
• time-sync

Според компанијата Socket, овие пакети се претставуваат како сервисот timeapi.io и биле објавени помеѓу крајот на февруари и почетокот на март 2026 година. Се проценува дека зад нив стои еден ист напаѓач, бидејќи користат иста метода за екфилтрација на податоци и сличен домен („timeapis[.]io“) за складирање на украдените информации.

„Иако пакетите се претставуваат како локални алатки за време, нивната главна функција е кражба на креденцијали и тајни податоци,“ изјави безбедносниот истражувач Кирил Бојченко. „Тие се обидуваат да соберат чувствителни податоци од програмерските околини, особено од .env датотеките, и да ги испратат до инфраструктура контролирана од напаѓачот.“

Додека четири од овие пакети имаат релативно едноставна функција за испраќање на .env датотеки, пакетот “chrono_anchor” оди чекор понатаму со користење на обфускација и оперативни измени со цел да избегне детекција. Пакетите биле рекламирани како алатки за калибрирање на локалното време без користење на Network Time Protocol (NTP).

Пакетот “chrono_anchor” ја содржи логиката за екфилтрација во датотека наречена “guard.rs”, која се повикува од помошна функција наречена “optional sync”, за да не предизвика сомнеж кај програмерите. За разлика од друг малвер, кодот во овој случај не се обидува да постави перзистентност на системот преку сервис или закажана задача.

Наместо тоа, пакетот се обидува повторно да ги испраќа тајните од .env датотеките секој пат кога програмер во Continuous Integration (CI) workflow ќе го повика малициозниот код.

Таргетирањето на .env датотеките не е случајно, бидејќи тие најчесто содржат API клучеви, токени и други тајни, што може да му овозможи на напаѓачот да ги компромитира корисниците понатаму и да добие подлабок пристап до нивните системи, вклучувајќи cloud сервиси, бази на податоци, GitHub и registry токени.

Иако пакетите веќе се отстранети од crates.io, на корисниците кои можеби ги презеле им се препорачува да претпостават дека е можно екфилтрирање на податоци, да ги сменат клучевите и токените, да ги проверат CI/CD задачите што користат credentials за објавување или деплој, и каде што е можно да го ограничат излезниот мрежен сообраќај.

„Оваа кампања покажува дека дури и малвер со ниска сложеност во supply chain може да има големо влијание кога се извршува во работните околини на програмерите и CI задачите,“ изјави Socket. „Приоритет треба да имаат мерки кои ќе ги блокираат малициозните зависности пред тие да се извршат.“

AI бот користи GitHub Actions

Откритието следува по откривањето на автоматизирана нападна кампања која ги таргетираше CI/CD pipeline-ите на големи open-source репозиториуми. Во кампањата бил користен бот напојуван со вештачка интелигенција наречен hackerbot-claw, кој скенирал јавни репозиториуми во потрага по ранливи GitHub Actions workflow-и за да собира тајни податоци од програмери.

Помеѓу 21 февруари и 28 февруари 2026 година, GitHub профилот – кој се опишувал како автономен агент за безбедносно истражување – таргетирал најмалку седум репозиториуми кои припаѓаат на Microsoft, Datadog и Aqua Security, меѓу другите.

Нападот се одвива на следниот начин:

• Скенирање на јавни репозиториуми за погрешно конфигурирани CI/CD pipeline-и
• Fork на таргетираниот репозиториум и подготовка на малициозен payload
• Отворање pull request со мала и безначајна промена (на пример исправка на печатна грешка), додека главниот малициозен код се крие во името на branch, името на датотеката или во CI скрипта
• Активирање на CI pipeline-от со искористување на фактот дека workflow-ите автоматски се активираат при секој pull request, што доведува до извршување на малициозниот код на build серверот
• Кражба на тајни податоци и access токени

Една од најзначајните цели на нападот бил репозиториумот aquasecurity/trivy, популарен безбедносен скенер од Aqua Security кој пребарува познати ранливости, погрешни конфигурации и тајни податоци.

„Hackerbot-claw искористи pull_request_target workflow за да украде Personal Access Token (PAT),“ соопшти компанијата за безбедност на supply chain StepSecurity. „Украдениот креденцијал потоа беше искористен за преземање контрола врз репозиториумот.“

Во изјава објавена минатата недела, Итај Шакури од Aqua Security откри дека напаѓачот го искористил GitHub Actions workflow за да објави малициозна верзија на Trivy екстензијата за Visual Studio Code во Open VSX registry, со цел да искористи локални AI coding агенти за собирање и испраќање чувствителни информации.

Компанијата Socket, која исто така го истражувала компромитирањето на екстензијата, изјави дека вметнатата логика во верзиите 1.8.12 и 1.8.13 ги активира локалните AI coding асистенти – вклучувајќи ги Claude, OpenAI Codex, Google Gemini, GitHub Copilot CLI и Kiro CLI – во многу дозволувачки режим. Потоа им дава инструкции да извршат детална проверка на системот, да создадат извештај за пронајдените информации и да ги зачуваат резултатите во GitHub репозиториум наречен “posture-report-trivy”, користејќи ја автентицираната GitHub CLI сесија на жртвата.

Aqua Security оттогаш ги отстрани артефактите од marketplace и го поништи токенот што бил користен за нивно објавување. На корисниците кои ги инсталирале екстензиите им се препорачува веднаш да ги отстранат, да проверат дали постојат неочекувани репозиториуми и да ги ротираат environment тајните. Малициозниот артефакт е отстранет и не се идентификувани други засегнати артефакти.

Инцидентот се следи под CVE идентификаторот CVE-2026-28353.

Важно е да се напомене дека системот може да биде погоден само ако се исполнети следниве услови:

• Верзијата 1.8.12 или 1.8.13 била инсталирана од Open VSX
• Барем еден од таргетираните AI coding CLI алати бил инсталиран локално
• CLI алатката ги прифатила дозволувачките flags за извршување
• AI агентот имал пристап до чувствителни податоци на дискот
• GitHub CLI бил инсталиран и автентициран (за верзија 1.8.13)

Според Socket, преминот од верзијата .12 кон .13 изгледа како еволуција на нападот. Првата верзија ги распрскувала податоците низ различни канали без сигурен начин напаѓачот да ги собере. Втората верзија го решава тој проблем со користење на GitHub профилот на жртвата како канал за ексфилтрација, но нејзините нејасни инструкции понекогаш можеле да доведат до тоа агентот да испрати тајни во приватен репозиториум кој напаѓачот не може да го види.

Извори:

• The Hacker News – Five Malicious Rust Crates and AI Bot Exploit CI/CD Pipelines to Steal Developer Secrets The Hacker News