Ну і до новин мілко-мʼяких.

GitHub, що належить Microsoft, був скомпрометований, коли розробник Microsoft, що використовує Microsoft VSCode, встановив несанкціоноване розширення з бібліотеки розширень Microsoft VSCode, яке модерується та розміщується Microsoft. 🤪

Якщо говорити конкретно, мова йде про свіжий злам популярного плагіна Nx Console (версія 18.95.0), який має понад 2.2 мільйона завантажень. Хакери з угруповання TeamPCP влаштували справжнє комбо, де все зав'язано на сервісах Microsoft.

Ось як виглядав цей іронічний ланцюжок насправді.

Хронологія "Microsoft-цент can't stop" атаки:

Крок 1 (GitHub): Зловмисники десь скомпрометували токен розробника (Personal Access Token) команди Nx. Завдяки цьому вони залили шкідливий код прямо в офіційний репозиторій на GitHub (який належить Microsoft). Причому сховали його хитро — у вигляді "висячого" orphaned-комміту, який не світився у головній гілці.
Крок 2 (VS Code): Використовуючи вкрадені облікові дані для публікації, хакери випустили оновлення розширення Nx Console в офіційному VS Code Marketplace (який хостить і модерує Microsoft).
Крок 3 (Ендшпіль): Розробники, які використовують редактор VS Code (від Microsoft), оновили плагін. Щойно вони відкривали будь-який воркспейс, розширення підтягувало той самий прихований шкідливий файл із GitHub.

Що робив малварь?
Ця гидота виявилася дуже "сучасною". Вона не просто крала стандартні SSH-ключі та AWS-токени, а цілеспрямовано полювала на конфіги Claude Code та витягувала паролі з 1Password. Щойно вона отримувала доступ, то створювала тисячі фейкових публічних репозиторіїв на тому ж GitHub для зливу даних.

Ложка позитиву: Малварь провисіла в маркетплейсі всього від 11 до 18 хвилин, поки розробники Nx не схаменулися і не знесли її.