Công cụ mã nguồn mở của Microsoft bị tấn công để đánh cắp mật khẩu của các nhà phát triển AI

Công cụ mã nguồn mở của Microsoft bị tấn công để đánh cắp mật khẩu của các nhà phát triển AI

Microsoft đã chặn quyền truy cập vào hàng chục dự án mã nguồn mở được lưu trữ trên GitHub trong quá trình điều tra cách tin tặc dường như đã xâm nhập thành công các dự án này và tiêm phần mềm độc hại đánh cắp mật khẩu vào mã nguồn.

Nhiều dự án bị ảnh hưởng liên quan đến dịch vụ đám mây Azure của Microsoft và các công cụ khác mà các nhà phát triển sử dụng để viết mã trên các ứng dụng phát triển AI, chẳng hạn như Claude Code, giao diện dòng lệnh của Gemini và VS Code.

Kho lưu trữ GitHub bị vô hiệu hóa

Theo công ty bảo mật Cloudsmith và trang phân tích phần mềm độc hại OpenSourceMalware — những đơn vị đầu tiên phát hiện ra vụ tấn công này — phần mềm độc hại đã cho phép tin tặc đánh cắp mật khẩu và các thông tin đăng nhập nhạy cảm khác của người dùng khi họ mở các công cụ bị xâm phạm trong ứng dụng lập trình AI của mình.

Hiện chưa rõ có bao nhiêu người đã tải xuống các công cụ bị ảnh hưởng.

Microsoft đã xác nhận việc gỡ bỏ các kho lưu trữ này, như được 404 Media đưa tin đầu tiên. Một người phát ngôn của Microsoft thừa nhận đã nhận được email từ phóng viên nhưng chưa bình luận ngay lập tức.

Ít nhất 70 dự án thuộc sở hữu của Microsoft đã bị "vô hiệu hóa", theo thông báo hiện ra khi cố gắng truy cập các trang dự án trên GitHub — trang web lưu trữ mã mà Microsoft sở hữu. Thông báo cho biết: "Quyền truy cập vào kho lưu trữ này đã bị nhân viên GitHub vô hiệu hóa do vi phạm Điều khoản dịch vụ của GitHub."

Đây là ví dụ mới nhất trong vài tháng qua về việc tin tặc xâm nhập vào các dự án mã nguồn mở phổ biến rộng rãi nhằm cài đặt phần mềm độc hại cho số lượng lớn người dùng có cài đặt mã này trên máy tính. Các cuộc tấn công này được gọi là "tấn công chuỗi cung ứng" vì chúng nhắm vào mã thường được sử dụng trong nhiều sản phẩm phần mềm hoặc bởi một loại người dùng cụ thể — những người có thể là mục tiêu lợi ích vì đôi khi họ có quyền truy cập vào hệ thống đám mây và lượng lớn dữ liệu khách hàng.

Mặc dù không hiếm gặp khi các nhà phát triển độc lập của các dự án mã nguồn mở trở thành mục tiêu của tin tặc — trong một số trường hợp là một phần của nỗ lực kéo dài để giành được sự tin tưởng của nhà phát triển — nhưng việc các gã khổng lồ công nghệ lớn như Microsoft bị xâm phạm là khá hiếm gặp, đặc biệt khi họ có nguồn lực để phòng thủ trước các loại tấn công này.

Theo Ars Technica, đây là lần vi phạm thứ hai được biết đến của Microsoft trong vài tuần qua cho phép tin tặc xâm phạm các dự án mã nguồn mở của họ. Vào giữa tháng 5, các nhà nghiên cứu bảo mật cho biết dự án mã nguồn mở Durable Task của Microsoft — một công cụ giúp các nhà phát triển xây dựng ứng dụng — đã bị tấn công. OpenSourceMalware cho biết sự cố mới nhất của Microsoft là một "tái xâm phạm" (re-compromise) dự án Durable Task, gợi ý rằng Microsoft có thể chưa loại bỏ hoàn toàn tin tặc trong lần thử đầu tiên hoặc đây là một vụ vi phạm hoàn toàn mới và riêng biệt.