Популярний open source-інструмент element-data яким користуються тисячі розробників, виявився скомпрометованим. Зловмисники підмінили одну з версій пакета, і вона почала збирати конфіденційні дані — від API-токенів до SSH-ключів.
Що сталосяЗа даними розробників, атаку здійснили через уразливість у процесі роботи з GitHub Actions. Зловмисник зміг виконати шкідливий скрипт через pull request і отримати доступ до облікових токенів та ключів підпису.
Після цього була опублікована підроблена версія пакета — 0.23.3 — у Python Package Index та Docker-образах.
Про інцидент повідомляє NNews із посиланням на Ars Technica.
Як працював шкідливий кодПісля запуску заражений пакет:
- сканував систему на наявність конфіденційних даних
- збирав облікові дані користувачів
- витягував ключі доступу до хмарних сервісів
- отримував API-токени, SSH-ключі та .env-файли
Чому це небезпечноЦе класичний приклад supply-chain атаки — коли компрометується не сам користувач, а інструмент, якому він довіряє.
Такі атаки небезпечні тим,
що:
- виглядають як легітимні оновлення
- обходять базові перевірки безпеки
- можуть масштабно поширюватися через залежності
- перевірити версію пакета
- якщо це 0.23.3 — видалити її
- встановити безпечну версію 0.23.4
- очистити кеш
- перевірити наявність маркерного файлу (.trinny-security-update)
- змінити всі ключі доступу які могли бути скомпрометовані
Хакер і засновник runZero HD Moore підкреслив:
такі workflow часто містять приховані уразливості, які можна використати через звичайний pull request.
Що це означає для ринкуІнцидент вкотре показує: open source більше не є «безпечним за замовчуванням».
Розробники змушені:
- жорсткіше контролювати CI/CD
- обмежувати доступ до ключів
- перевіряти навіть офіційні оновлення
Чому це важливоЦе не просто локальний інцидент — це сигнал про системну проблему.
Атаки через залежності стають масовими, і під загрозою вже не лише окремі користувачі, а цілі компанії та інфраструктури.
