In questo articolo Indice dei contenuti 3 sezioni
Una nuova variante della campagna GhostAction sta colpendo gli sviluppatori con un trucco tanto semplice quanto efficace: un malware camuffato da file di font, pensato per rubare informazioni riservate direttamente dai computer di chi programma. L’operazione punta agli ambienti di sviluppo e sfrutta le configurazioni di Visual Studio Code per avviare codice malevolo senza destare sospetti, almeno non subito.
L’aspetto più subdolo sta proprio nel travestimento. Il programma si presenta come una normale risorsa grafica, di quelle che si trovano in qualsiasi sito web, e così un elemento che sembra far parte della struttura ordinaria di un progetto diventa la porta d’ingresso per un furto di credenziali. Un dettaglio che mette in luce quanto possa costare cara la fiducia riposta nei repository condivisi e negli strumenti usati ogni giorno per scrivere codice.
Il falso font e il ruolo di Visual Studio Code
Stando all’analisi dei ricercatori, la campagna coinvolge 94 repository GitHub riconducibili a 66 proprietari. Il codice malevolo è stato confermato in quelli accessibili agli analisti, mentre gli altri non erano disponibili per una verifica diretta. L’indagine porta la firma di Jenn Gile, ricercatrice di OpenSourceMalware, che si è messa al lavoro dopo che Thijs Xhaflaire di Jamf Threat Labs aveva notato un gruppo di attività sospette.
Il meccanismo ruota attorno a un file con estensione .woff2, cioè quella tipica dei font per il web, sistemato in una cartella che richiama le risorse grafiche del progetto. A guardarlo da fuori sembra innocuo. In realtà dentro c’è codice JavaScript, eseguito tramite Node.js. Il collegamento con l’editor passa invece dal file .vscode/tasks.json, dove viene definita un’attività con un nome dall’aria rassicurante, che richiama un comune controllo sul codice.
La configurazione fa partire questa attività in automatico appena si apre la cartella del progetto in Visual Studio Code, e le impostazioni scelte nascondono pure la normale visualizzazione del terminale, così l’esecuzione passa quasi inosservata. Va detto però che aprire un repository compromesso non porta per forza a un’infezione. Molto dipende dalle condizioni di attendibilità dell’ambiente e dalle autorizzazioni concesse alle attività automatiche.
Quali dati finiscono nelle mani degli attaccanti
Una volta partito, il malware di GhostAction raccoglie dati identificativi della macchina, variabili d’ambiente e tutti quei file che contengono informazioni di autenticazione. L’elenco degli obiettivi è piuttosto lungo e comprende credenziali AWS, token GitHub, chiavi SSH, accessi ai registri software e configurazioni legate a servizi cloud e strumenti di sviluppo, inclusi Claude e Gemini.
Le informazioni sottratte vengono spedite a un’infrastruttura remota attraverso richieste HTTP. C’è poi un ulteriore livello di insidia, perché un meccanismo basato su cron può garantire agli attaccanti un accesso persistente sui sistemi compatibili. Proprio per questo motivo cancellare i file sospetti dal repository non basta a chiudere la questione.
Come muoversi in caso di compromissione
Chi teme di essere stato colpito deve agire su più fronti. Gli esperti consigliano prima di tutto di revocare gli accessi GitHub sottratti, poi di passare al setaccio tutti i repository raggiungibili dagli account coinvolti e controllare se ci sono attività o processi non autorizzati in esecuzione. Le credenziali esposte vanno sostituite, ma solo dopo aver contenuto l’incidente e utilizzando un dispositivo pulito.
Per i team di sviluppatori il punto è che la sicurezza della catena di sviluppo non dipende soltanto dalla reputazione della piattaforma o dall’aspetto legittimo dei suoi componenti. Anche la configurazione degli strumenti locali e la provenienza del codice devono entrare nelle verifiche di routine, e integrare questi controlli nel processo di revisione riduce il rischio che un progetto all’apparenza affidabile diventi il veicolo per compromettere account, infrastrutture e servizi collegati.
Fonte: TecnoAndroid