AI aģentu rīka Tensorlake npm pakotnē atklāts datu zagļa tārps, kas var izdzēst datus, ja atsauc nozagto žetonu

Programmatūras pakotņu reģistrā npm publicētā Tensorlake TypeScript izstrādes rīkkopas versija 0.5.144 saturējusi ļaunatūru, kas zog piekļuves datus un mēģina pati izplatīties tālāk, ziņo drošības uzņēmumi Socket, StepSecurity un Aikido. Tensorlake piedāvā mākoņa smilškastes jeb izolētas vides, kurās darbojas AI aģenti. Inficētā versija no npm reģistra jau ir izņemta.

Pēc pētnieku datiem, uzbrucējs 7. oktobrī ar viena projekta uzturētāja identitāti iesūtīja kaitīgos failus tieši Tensorlake GitHub repozitorija galvenajā zarā un apmēram pēc dienas no tā paša repozitorija palaida jaunās versijas publicēšanu npm. Tāpēc pakotnei bija izcelsmes apliecinājums. StepSecurity uzsver, ka šāds apliecinājums parāda tikai to, kur pakotne būvēta, nevis to, ka tās kods ir drošs.

Ļaunatūra iedarbojas jau instalēšanas brīdī. Iepriekšējas instalēšanas skripts palaiž aizmiglotu ielādētāju, kas ar Bun JavaScript izpildvidi startē galveno kaitīgo kodu. Tas vāc GitHub un npm žetonus, mākoņpakalpojumu atslēgas, Kubernetes un Vault noslēpumus, kā arī pārlūkprogrammās saglabātos pieteikšanās datus, nosūta tos uzbrucējiem, nostiprinās datorā un var izpildīt attālināti saņemtas komandas.

Kods darbojas arī kā tārps. Ar nozagtu npm žetonu tas upura pakotnēm pievieno sevi un publicē tās no jauna, tāpēc viens zaudēts publicēšanas žetons var inficēt nākamos lietotājus. Repozitorijos, kuriem tas piekļūst, tiek ierakstīti faili .claude/settings.json un .vscode/tasks.json, lai kods palaistos atkārtoti, kad kāds atver projektu Claude Code vai VS Code vidē.

Īpaši bīstams ir pakalpojums gh-token-monitor, ko ļaunatūra uzstāda, ja tai izdevies iegūt GitHub žetonu. Tas ik pēc 60 sekundēm pārbauda, vai žetons vēl derīgs, un, ja GitHub to atraida, izdzēš lietotāja mājas mapi. Tāpēc pētnieki iesaka vispirms atrast un izņemt šo pakalpojumu un tikai tad atsaukt un nomainīt visas atslēgas un žetonus, kā arī pārbaudīt, vai projektu atkarību failos nav minēta versija 0.5.144.

Socket šo uzbrukumu saista ar augustā aprakstīto ChainDrop jeb Shai-Hulud kampaņu, kurā tika kompromitētas simtiem npm pakotņu, tostarp Keyv un Cacheable. Jaunums ir mērķis: šoreiz skarta infrastruktūra, ko izmanto AI aģentu izveidei un darbināšanai. Lietotājiem, kuri instalējuši inficēto versiju, ieteikts to nekavējoties izņemt un uzskatīt visus datorā pieejamos piekļuves datus par kompromitētiem.