بسته‌های npm و Go هک‌شده از وظایف VS Code برای استقرار سارق اطلاعات پایتون استفاده می‌کنند

محققان امنیت سایبری دو بسته (package) آلوده در مخزن npm و مجموعه‌ای از ۱۶ بسته Go را کشف کرده‌اند که برای استقرار یک بدافزار سرقت اطلاعات (infostealer) مبتنی بر پایتون روی سیستم‌های ویندوز، لینوکس و macOS طراحی شده‌اند. این حمله که شرکت JFrog آن را تحلیل کرده، از یک وظیفه پنهان در VS Code با نام «eslint-check» بهره می‌برد که با باز شدن پوشه پروژه به‌صورت خودکار اجرا می‌شود. بدافزار سپس کدهای جاوااسکریپت رمزگذاری‌شده را از طریق تراکنش‌های بلاک‌چین (blockchain) بازیابی کرده، به زیرساخت تحت کنترل مهاجم متصل می‌شود و یک درب پشتی (backdoor) مبتنی بر socket.io راه‌اندازی می‌کند. بسته‌های npm آلوده با نام‌های «html-to-gutenberg» و «fetch-page-assets» در ۲۵ مه ۲۰۲۶ بارگذاری شده و اکنون از دسترس خارج شده‌اند. این کمپین به گروه هکری کره شمالی نسبت داده شده و به‌عنوان زیرشاخه‌ای از کمپین «Contagious Interview» شناسایی می‌شود که از سال ۲۰۲۳ فعال است.

بدافزار پایتون مستقرشده قادر است اطلاعات گسترده‌ای از جمله اعتبارنامه‌های مرورگرهای مبتنی بر Chromium و Firefox، کیف پول‌های ارز دیجیتال (cryptocurrency wallets)، مدیران رمز عبور، توکن‌های احراز هویت، اطلاعات Git، GitHub Desktop، VS Code و همچنین داده‌های ذخیره‌شده در Windows Credential Manager، macOS Keychain و فضای ابری سرویس‌هایی مانند Dropbox، Google Drive و iCloud را سرقت کند. داده‌های جمع‌آوری‌شده در قالب فایل‌های فشرده ZIP به سرور فرمان‌ودهی (C2) و در صورت وجود توکن، به یک ربات تلگرام ارسال می‌شوند. به کاربرانی که این بسته‌ها را نصب کرده‌اند توصیه شده فوراً آن‌ها را حذف کرده و تمامی اعتبارنامه‌ها، کلیدهای API و توکن‌های دسترسی خود را تغییر دهند.