Cảnh báo tấn công chuỗi cung ứng

GitHub Bị Tấn Công: Rò Rỉ Kho Lưu Trữ Nội Bộ Qua Tiện Ích VS Code Độc Hại

GitHub đã chính thức xác nhận việc xâm nhập trái phép vào các kho lưu trữ nội bộ của mình. Sự cố này bắt nguồn từ một thiết bị của nhân viên bị thỏa hiệp thông qua phiên bản "độc hại" của tiện ích Nx Console trên Microsoft Visual Studio Code (VS Code).

Chi tiết vụ tấn công và phạm vi ảnh hưởng

Cuộc tấn công được xác định thực hiện bởi nhóm tội phạm mạng TeamPCP, dẫn đến việc trích xuất khoảng 3.800 kho lưu trữ (repositories) nội bộ của GitHub. Nhóm này đã lợi dụng lỗ hổng trong chuỗi cung ứng phần mềm để phát tán mã độc thông qua các tiện ích mở rộng phổ biến dành cho nhà phát triển.

Thời gian cửa sổ tấn côngMã độc chỉ tồn tại 18 phút trên Visual Studio Marketplace nhưng đủ để lây lan (từ 12:30 đến 12:48 UTC ngày 18/05/2026).

Dữ liệu bị nhắm mục tiêuThông tin đăng nhập từ 1Password, cấu hình Anthropic Claude Code, npm, GitHub và Amazon Web Services (AWS).

Cơ chế hoạt động tinh vi của TeamPCP

Tiện ích Nx Console bị nhiễm độc vẫn hoạt động như bình thường, nhưng khi khởi động, nó âm thầm thực thi một lệnh shell để tải xuống mã độc từ một commit đã được cài cắm sẵn trên kho lưu trữ chính thức. Lệnh này được ngụy trang khéo léo thành một tác vụ thiết lập hệ thống định kỳ để không gây nghi ngờ.

Ngoài GitHub, vụ tấn công chuỗi cung ứng này còn ảnh hưởng đến nhiều tổ chức lớn khác bao gồm OpenAI, Mistral AI và Grafana Labs. Điều này cho thấy chiến thuật của hacker là phá vỡ một công cụ tin cậy, đánh cắp thông tin đăng nhập của nhà phát triển, sau đó dùng chúng để tấn công vào các mục tiêu lớn hơn.

Hành động khẩn cấp cho các tổ chức

Rà soát Extension: Kiểm tra ngay các tiện ích VS Code trong hệ thống, đặc biệt là Nx Console phiên bản 18.95.0.
Thay đổi Secret: Thu hồi và cấp mới toàn bộ API keys, tokens và secrets nếu phát hiện dấu hiệu xâm nhập.
Quản lý cập nhật: Cân nhắc vô hiệu hóa tính năng tự động cập nhật tiện ích trên các thiết bị của nhà phát triển quan trọng.
Giám sát thiết bị: Tăng cường theo dõi các tiến trình thực thi shell lạ phát sinh từ các IDE và trình soạn thảo mã nguồn.

Nguồn tham khảo: The Hacker News

Liên hệ đội ngũ ứng cứu sự cố TMGS