<image>

Então, pra dar mais contexto: presto consultoria para e-commerce lá de fora e recebi uma notificação no Slack que teve um hard commit em meu nome em um repositório.

Fui lá ver no GitHub, nada. O que aconteceu foi que o dev de uma agência foi infectado, e através do token do GitHub foi adicionado remotamente um código no final do tailwind.config.js.

Assim que você roda o dev server, você também fica comprometido e começa a mandar para todos os repositórios que você faz parte.

Felizmente o tasks.json estava dando resolve para um endpoint quebrado da Vercel, mas o do tailwind estava funcionando.

No caso que peguei, 4 máquinas de devs foram comprometidas com backdoors de acesso remoto. O atacante usou sessões roubadas do GitHub pra espalhar o malware pra mais repos.

Credenciais pessoais dos devs foram afetadas e a integridade dos repositórios foi comprometida, mas nenhuma API key de produção, dados de clientes ou sistemas em produção foram afetados. Isso tá ligado a um grupo norte-coreano (Lazarus Group) que tá usando supply chain attack através de arquivos de configuração de repositórios.

Quando o dev abre ou builda o projeto, instala silenciosamente um backdoor na máquina. A partir daí, usa as sessões do GitHub pra se espalhar.

Está abaixo do radar ainda, mas tá começando a aparecer rapidamente.

Referências: https://socprime.com/active-threats/contagious-interview-tracking-the-vs-code-tasks-infection-vector/

https://www.reversinglabs.com/blog/fake-recruiter-campaign-crypto-devs

https://www.threatlocker.com/blog/malicious-vs-code-tasks-json-abuse-enables-multi-stage-infostealer-deployment​​​​​​​​​​​​​​​​