Eksperci z ANY.RUN zidentyfikowali nową kampanię wymierzoną w programistów oraz użytkowników AI. Atak polega na tworzeniu fałszywych stron internetowych, które imitują popularne narzędzia do generowania obrazów, wideo czy asystentów kodowania. Cyberprzestępcy wykorzystują techniki SEO poisoning oraz płatne reklamy w wyszukiwarkach, aby skierować ofiary na zainfekowane witryny.
Po pobraniu i uruchomieniu fałszywego instalatora, w tle aktywuje się złośliwe oprogramowanie typu infostealer, takie jak LUMMA, Vidar czy Stealc. Celem atakujących nie są tylko dane osobowe, ale przede wszystkim kluczowe zasoby techniczne. Skradzione mogą zostać tokeny dostępu GitHub/GitLab, klucze SSH, klucze API do usług takich jak OpenAI czy Anthropic, a także dane z portfeli kryptowalutowych.
Zagrożenie ma charakter krytyczny dla organizacji, ponieważ przejęcie poświadczeń programisty może prowadzić do kompromitacji całych projektów i infrastruktury firmy. Aby się chronić, zaleca się pobieranie narzędzi wyłącznie z oficjalnych repozytoriów i unikanie linków sponsorowanych w wyszukiwarkach.
Na poziomie organizacji kluczowe jest wdrożenie restrykcji uruchamiania aplikacji na punktach końcowych oraz stosowanie piaskownic do wstępnej analizy nieznanego oprogramowania przed jego instalacją w środowisku lokalnym.
