Kampania Hades atakuje łańcuch dostaw Pythona i oszukuje asystentów kodujących AI

Badacze bezpieczeństwa udokumentowali kampanię pod nazwą Hades, w której złośliwe pakiety Pythona nie tylko kradną dane logowania deweloperów, ale też aktywnie oszukują asystentów kodujących AI, każąc im zaklasyfikować szkodliwy kod jako czysty. Firma Morphisec opisała mechanizm ataku w nowej analizie, ostrzegając, że narzędzia AI, którym programiści ufają najbardziej, stają się elementem samego ataku.

Jak działa atak

Punktem wejścia jest zaciemniony skrypt umieszczony w pliku init pakietu Pythona lub w pliku pth, który wykonuje kod już przy starcie interpretera. Po instalacji zainfekowany pakiet pobiera środowisko uruchomieniowe Bun i za jego pomocą odpala wieloetapowe ładunki JavaScript, co pozwala ominąć tradycyjne kontrole menedżerów pakietów oraz logi proxy monitorujące ruch sieciowy.

Złośliwy kod instaluje na Linuksie, macOS i Windows skanery pamięci wyszukujące zaszyfrowane dane uwierzytelniające. Lista celów jest długa: tokeny dostępu do AWS, GCP i Azure, sekrety Kubernetes, tokeny osobiste i Actions z GitHuba, dane logowania do rejestrów PyPI, npm i RubyGems, klucze SSH, konfiguracje rejestrów Docker, pliki środowiskowe oraz historie powłoki systemowej.

Oszukiwanie asystentów AI

Najbardziej nietypowym elementem kampanii jest mechanizm skierowany wprost przeciwko narzędziom AI używanym do przeglądu kodu. Atakujący umieszczają na początku plików bloki tekstu w języku naturalnym, które instruują model językowy, by zignorował ukryty kod poniżej i oznaczył pakiet jako zweryfikowany oraz bezpieczny.

Ten sam mechanizm uderza w agentów kodujących zainstalowanych lokalnie u dewelopera. Gdy ofiara otwiera projekt w środowisku z podłączonym asystentem AI, złośliwy kod potrafi wykonać polecenia startowe i podmienić pliki konfiguracyjne agenta, docierając w ten sposób do systemów rules wykorzystywanych przez Claude, Copilot, Codex i Gemini. Według Orca Security ładunek wysyła też spreparowany ruch sieciowy do serwerów Anthropic, by zaciemnić analizę ruchu sieciowego prowadzoną przez zespoły bezpieczeństwa.

Mechanizm odstraszający ofiary

Kampania zawiera również usługę monitorującą stan skradzionych tokenów GitHub. Gdy ofiara lub zespół bezpieczeństwa unieważni token, a API zwróci błąd autoryzacji, usługa uruchamia destrukcyjną komendę czyszczącą dane na zainfekowanej maszynie. Badacze ze StepSecurity określają ten element jako wiper deterrent, czyli mechanizm mający zniechęcić ofiary do szybkiego cofania dostępu.

Infrastruktura dowodzenia opiera się na trzech niezależnych kanałach GitHub, które służą jako punkty przekazywania poleceń i tokenów. Atakujący wykorzystują też mechanizmy zaufania w SSH, SCP, OIDC i SLSA, standardowo używane do budowania bezpiecznych łańcuchów dostaw oprogramowania, obracając je przeciwko samym deweloperom.

Kontekst dla programistów

Morphisec łączy kampanię Hades z szerszym trendem ataków na Model Context Protocol, czyli warstwę zaufania, przez którą asystenci kodujący AI komunikują się z zewnętrznymi narzędziami i pakietami. Firma opisała wcześniej odrębny atak, w którym złośliwy pakiet npm z dopracowanym opisem i pozorną dokumentacją zgodności przechodził zarówno przez statyczne skanery, jak i przez recenzję człowieka, a cały proces od instalacji do wycieku danych zajmował poniżej 90 sekund.

Zagrożenie nie polega jedynie na tym, że AI przyspiesza ataki, ale na tym, że narzędzia AI, którym organizacje ufają, same stają się atakiem - Morphisec

Nazwa kampanii zmieniała się w miarę jej rozwoju. Operatorzy najpierw opisywali swoje repozytoria jako Miasma, a po tym jak badacze zaczęli je namierzać, przeszli na oznaczenie Hades, co komplikuje śledzenie kolejnych fal ataku przez zespoły bezpieczeństwa.

Co to oznacza w praktyce

Dla zespołów programistycznych korzystających z agentów kodujących AI kampania pokazuje konkretną lukę: skanery oparte na LLM, wdrażane właśnie po to, by przyspieszyć przegląd kodu, same stają się celem manipulacji przez tekst wstrzyknięty do analizowanego pliku. Podobne przypadki oszukiwania agentów AI opisywano już wcześniej, dotyczyły one jednak głównie interakcji z użytkownikiem, a nie automatycznej klasyfikacji pakietów w łańcuchu dostaw.

Firmy korzystające z Claude, Copilot, Codex czy Gemini do przeglądu kodu powinny traktować wynik takiej automatycznej analizy jako jeden z sygnałów, a nie ostateczną decyzję, zwłaszcza przy instalacji nowych zależności z publicznych rejestrów pakietów. Eksperci rekomendują też ograniczanie zakresu tokenów przyznawanych środowiskom deweloperskim, tak by nawet skuteczna kradzież danych logowania nie dawała dostępu do pełnej infrastruktury chmurowej firmy.