Một chiến dịch phần mềm độc hại quy mô lớn đã được phát hiện trên JetBrains Marketplace, với ít nhất 15 plugin IDE độc hại được tìm thấy đang đánh cắp các khóa API nhạy cảm của nhà phát triển. Đây là một mối đe dọa mạng nghiêm trọng đối với cộng đồng lập trình viên.
Chiến dịch Phần mềm Độc hại trên JetBrains Marketplace
Các plugin này, đã được tải xuống hơn 70.000 lần, được xuất bản dưới bảy tài khoản nhà cung cấp khác nhau và giả dạng thành các trợ lý lập trình hợp pháp dựa trên AI.
Giả mạo Tính năng Hữu ích
Theo nghiên cứu, các plugin độc hại tuyên bố cung cấp các tính năng hữu ích cho nhà phát triển như chat AI, tạo mã, phát hiện lỗi, tạo tin nhắn commit và viết bài kiểm tra đơn vị. Chúng hoạt động bình thường và cung cấp các tính năng đã hứa, khiến việc phát hiện trở nên khó khăn.
Tuy nhiên, đằng sau lớp vỏ bọc này, chúng âm thầm thu thập khóa API của người dùng.
Khai thác Khóa API của Nhà phát triển
Các nhà nghiên cứu đã phát hiện ra rằng tất cả các plugin bị ảnh hưởng đều chia sẻ một mã nguồn gần như giống hệt, chỉ được sửa đổi nhẹ và tái xuất bản dưới các tên khác nhau. Để sử dụng các công cụ này, nhà phát triển phải nhập khóa API cho các dịch vụ như OpenAI, DeepSeek hoặc SiliconFlow.
Ngay sau khi người dùng nhập khóa API và nhấp vào “Apply,” plugin ngay lập tức chiếm đoạt và gửi khóa đi mà không có bất kỳ cảnh báo hay sự đồng ý nào.
Cơ chế Đánh cắp Dữ liệu
Logic độc hại được nhúng trong trình xử lý cài đặt của plugin, cho phép đánh cắp dữ liệu tức thời và vô hình. Các khóa API bị đánh cắp được gửi qua yêu cầu HTTP POST đến một máy chủ chỉ huy và kiểm soát (C2) được mã hóa cứng tại 39.107.60[.]51.
Giao tiếp diễn ra qua HTTP dạng văn bản thuần túy, làm lộ các thông tin xác thực nhạy cảm cho việc nghe lén và lạm dụng.
Mô hình Kinh doanh Độc hại
Các plugin này cũng bao gồm một gói trả phí. Sau khi người dùng thanh toán, plugin sẽ nhận một khóa API mới từ máy chủ do kẻ tấn công kiểm soát. Sau đó, nó bắt đầu sử dụng khóa này thay vì khóa ban đầu của người dùng.
Điều này có thể cho thấy một kế hoạch bán lại, nơi các khóa API bị đánh cắp từ nạn nhân được phân phối lại cho những người dùng trả phí. Điều này cho phép kẻ tấn công kiếm tiền từ cả thông tin xác thực bị đánh cắp và các đăng ký trả phí, đồng thời chuyển chi phí hoạt động cho các nạn nhân không hề hay biết.
Dấu hiệu của Sự xâm nhập (IOCs)
Máy chủ C2
39.107.60[.]51
Plugin Bị Ảnh hưởng
Danh sách cụ thể các plugin bị ảnh hưởng có thể thay đổi, nhưng bất kỳ plugin nào cung cấp chức năng AI hoặc tiện ích tương tự và yêu cầu khóa API đều cần được xem xét kỹ lưỡng.
Tài khoản Nhà cung cấp
Bảy tài khoản nhà cung cấp khác nhau đã được xác định là nguồn gốc của các plugin độc hại.
Lưu ý: Địa chỉ IP và tên miền được làm mờ (ví dụ: `[.]`) để ngăn chặn việc phân giải hoặc tạo siêu liên kết vô tình. Chỉ khôi phục lại dạng gốc trong các nền tảng tình báo mối đe dọa được kiểm soát như MISP, VirusTotal hoặc SIEM của bạn.
Tác động và Khuyến nghị Bảo mật
Chiến dịch này có niên đại từ tháng 10 năm 2025, với các plugin độc hại mới tiếp tục xuất hiện cho đến tháng 6 năm 2026. Tác động thực tế có thể cao hơn so với báo cáo, do số lượt tải xuống có thể bị thao túng và các đánh giá tích cực giả mạo đã được quan sát trên danh sách plugin.
Môi trường Phát triển Tích hợp (IDE) – Mục tiêu Ngày càng Tăng
Các IDE ngày càng trở thành mục tiêu trong các cuộc tấn công chuỗi cung ứng vì chúng chứa dữ liệu cực kỳ nhạy cảm. Điều này bao gồm mã nguồn, thông tin xác thực, khóa ký và bây giờ là các khóa API dịch vụ AI.
Các plugin thường chạy với quyền cao và được nhà phát triển tin tưởng, khiến chúng trở thành một vectơ lý tưởng cho các cuộc tấn công lén lút. Ngay cả với quy trình xem xét thủ công của JetBrains, các chức năng độc hại nhỏ ẩn giấu vẫn có thể tránh bị phát hiện.
Khuyến nghị cho Nhà phát triển
Nhà phát triển nên ngay lập tức gỡ bỏ bất kỳ plugin bị ảnh hưởng nào và thu hồi các khóa API đã bị lộ. Điều quan trọng là phải xoay vòng thông tin xác thực và giám sát các hoạt động sử dụng API bất thường hoặc các khoản phí đột biến.
Khuyến nghị cho Tổ chức
Các chuyên gia bảo mật khuyên nên coi các plugin IDE là các phụ thuộc có rủi ro cao. Tránh nhập thông tin xác thực nhạy cảm vào các công cụ chưa được xác minh và chỉ dựa vào các nhà xuất bản đáng tin cậy.
Các tổ chức cũng nên triển khai các giải pháp giám sát điểm cuối và các công cụ bảo mật chuỗi cung ứng phần mềm để phát hiện sớm các gói độc hại và ngăn chặn sự xâm nhập.
Chiến dịch này nhấn mạnh rủi ro bảo mật ngày càng tăng của các cuộc tấn công nhắm vào nhà phát triển và tầm quan trọng của sự cảnh giác khi tích hợp các công cụ của bên thứ ba vào môi trường phát triển. Việc cập nhật bản vá và áp dụng các biện pháp bảo mật chủ động là yếu tố then chốt để giảm thiểu các mối đe dọa tương tự.
Để tìm hiểu thêm về các lỗ hổng bảo mật và các mối đe dọa mới nhất, hãy tham khảo các nguồn tin cậy như CISA Advisories.
