CẢNH BÁO KHẨN CẤP

Phiên bản 18.95.0 của tiện ích Nx Console phổ biến trên Visual Studio Code (VS Code) đã bị xâm nhập để phát tán mã độc đánh cắp thông tin xác thực. Với hơn 2,2 triệu lượt cài đặt, cuộc tấn công chuỗi cung ứng này đe dọa trực tiếp đến các bí mật (secrets) quan trọng của cộng đồng nhà phát triển.

Chi tiết vụ việc

Các nhà nghiên cứu bảo mật vừa phát hiện phiên bản 18.95.0 của Nx Console chứa payload độc hại được ngụy trang tinh vi. Khi nhà phát triển mở bất kỳ không gian làm việc (workspace) nào, tiện ích này sẽ âm thầm tải xuống và thực thi một tệp tin 498 KB từ một commit ẩn trong kho lưu trữ chính thức của dự án trên GitHub.

Thông tin bị đánh cắp

Vaults của 1Password
Cấu hình Anthropic Claude Code
Token xác thực npm, GitHub và AWS
Khóa SSH và các tệp tin .env

Cơ chế thực thi

Sử dụng Bun JavaScript runtime để chạy mã độc
Cài đặt backdoor Python trên macOS
Truyền dữ liệu qua DNS tunneling và GitHub API
Vượt qua xác thực Sigstore và SLSA

Dấu hiệu nhận biết hệ thống bị xâm nhập (IoC)

Nhà phát triển cần kiểm tra ngay các dấu hiệu sau trên máy tính cá nhân:

Tệp tin đáng ngờ: ~/.local/share/kitty/cat.py, ~/Library/LaunchAgents/com.user.kitty-monitor.plist

Đường dẫn tạm: /var/tmp/.gh_update_state hoặc /tmp/kitty-*

Tiến trình: Một tiến trình python chạy file cat.py hoặc tiến trình có biến môi trường __DAEMONIZED=1

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DEVELOPER

Cập nhật ngay lập tức: Nâng cấp Nx Console lên phiên bản 18.100.0 hoặc mới hơn để loại bỏ mã độc.
Dừng tiến trình: Kết thúc ngay các tiến trình Python đáng ngờ đã nêu ở trên.
Xóa tệp độc hại: Gỡ bỏ toàn bộ các tệp tin IoC đã liệt kê khỏi ổ đĩa.
Thu hồi và đổi mới (Rotation): Thay đổi TOÀN BỘ mật khẩu, token API, khóa SSH và các bí mật đã lưu trên máy tính bị ảnh hưởng.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Tiện ích Nx Console trên VS Code bị tấn công chuỗi cung ứng để đánh cắp thông tin xác thực