Исследователи в области кибербезопасности обнаружили масштабную операцию по размещению на GitHub проектов с вредоносным кодом, замаскированным с помощью невидимых символов Unicode.
Согласно информации компании Aikido Security, с 3 по 9 марта было загружено 151 такой пакет. Их названия имитируют известные продукты, что может привести к ошибочному подключению разработчиками этих библиотек как безопасных. В отличие от предыдущих методов, большая часть кода выглядит безобидно, а вредоносные функции скрываются символами Unicode, которые визуально воспринимаются как пробелы или пустые строки. При этом интерпретатор JavaScript распознает их как исполняемые команды.
Похожие находки были также зарегистрированы в репозиториях NPM, Open VSX и на маркетплейсе VS Code. Группу злоумышленников исследователи назвали Glassworm. Их активность сложно выявить по косвенным признакам: обновления выглядят правдоподобно и включают изменения в документации, повышение версий и исправления ошибок. Эксперты предполагают, что для масштабирования схемы могли быть использованы языковые модели ИИ.
Невидимые символы соответствуют латинским буквам и декодируются во время выполнения JavaScript, что позволяет запускать скрытый код. Такие символы уже давно присутствуют в стандарте Unicode, однако их использование для маскировки вредоносных фрагментов стало актуальным только в 2024 году.
Специалисты предполагают, что выявленные 151 проект — это лишь часть более широкой кампании, поскольку подобные пакеты часто удаляются после достижения определенного числа загрузок.
Фото: hi-tech.mail.ru