Хакери вставляють шкідливе програмне забезпечення у завантаження програмного забезпечення Mistral AI

Коротко

• Microsoft повідомила, що зловмисники зламали завантаження програмного забезпечення Mistral AI, яке використовують розробники.
• Зловмисне програмне забезпечення нібито крало облікові дані і могло пошкодити деякі системи Linux.
• Mistral заявила, що у неї немає доказів того, що її інфраструктура була зламаною.

Microsoft Threat Intelligence повідомила у понеділок, що зловмисники вставили шкідливий код у пакет програмного забезпечення Mistral AI, розповсюджений через PyPI, популярну платформу, яку використовують розробники для завантаження інструментів Python. У повідомленні на X Microsoft повідомила, що шкідливий код автоматично запускався, коли розробники використовували програмне забезпечення на системах Linux. Код завантажував другий шкідливий файл під назвою transformers.pyz з віддаленого сервера і запускали його у фоновому режимі. “Ім’я файлу transformers.pyz здається навмисно обраним для імітації широко використовуваної бібліотеки Hugging Face Transformers і для злиття у середовища ML/розробки,” написала Microsoft.

Компанія повідомила, що зловмисне програмне забезпечення переважно працювало як крадець облікових даних, здатний збирати логіни розробників і токени доступу. Microsoft також заявила, що зловмисне програмне забезпечення уникало систем російською мовою і містило код, який міг випадковим чином видаляти файли на деяких системах, що, здавалося, знаходилися в Ізраїлі або Ірані. Звіти пов’язують останню атаку з ширшою кампанією зловмисного програмного забезпечення “Shai-Hulud”, яка почалася у вересні і націлена на ланцюги поставок програмного забезпечення шляхом інфікування довірених пакетів розробників і крадіжки облікових даних з компрометованих систем.  “Shai-Hulud, той страшний гіт-черв’як, про який всі говорять, був відкритий,” написала компанія кібербезпеки VX Underground у X. “Що це означає? TeamPCP або хтось інший випустив повністю озброєний черв’як для вас.”

Microsoft порадила організаціям ізолювати уражені системи Linux, заблокувати відповідну IP-адресу, шукати ознаки інфікування і замінити потенційно скомпрометовані облікові дані. У вівторок Mistral повідомила на своєму сайті, що стала жертвою атаки через ланцюг поставок, пов’язаної з ширшою інцидентом безпеки TanStack. Компанія заявила, що автоматизований черв’як, пов’язаний із атакою, призвів до публікації скомпрометованих версій пакетів NPM і PyPI. “Поточне розслідування показує, що у справі був залучений уражений пристрій розробника,” написала компанія. “Ми не маємо підстав вважати, що інфраструктура Mistral була зламаною.” Node Package Manager або NPM — одна з найбільших платформ для завантаження програмного забезпечення для розробників JavaScript. Вона все більше стає ціллю у кібератаках, пов’язаних із криптовалютами, оскільки багато додатків блокчейну, гаманців і торгових платформ покладаються на програмне забезпечення, розповсюджене через цю службу. У вересні CTO Ledger Чарльз Гіємет попередив, що хакери зламали широко використовувані пакети NPM у атаці, яка могла перенаправляти крипто-транзакції і красти кошти. “Уражені пакети вже були завантажені понад 1 мільярд разів, що означає, що вся екосистема JavaScript може бути під загрозою,” написав Гіємет у X того часу. Інші недавні атаки використовували отруєні пакети NPM, пов’язані з фальшивими ботами для торгівлі криптовалютами і інструментами блокчейну для поширення шкідливого програмного забезпечення через смарт-контракти Ethereum.