Angriff über Linkedin: Wie ein Entwickler mit KI eine Malware-Attacke entlarvt hat
Inhalt
Immer wieder versuchen Angreifer, Softwareentwicklern über Plattformen wie Linkedin Schadcode unterzuschieben. Auch Roman Imankulov, Entwickler des Python-Entwicklertools Smello(öffnet im neuen Fenster), ist kürzlich Ziel einer solchen Attacke geworden, wie er in einem Blogbeitrag(öffnet im neuen Fenster) schildert. Doch Imankulov war aufmerksam und schöpfte frühzeitig Verdacht. Durch ein KI-Tool war es ihm möglich, sein System vor einer gefährlichen Malware-Infektion zu bewahren.
Der Angriff ging den Angaben zufolge von einer Frau aus, die vorgab, als Recruiterin für ein kleines Krypto-Startup tätig zu sein. Nach einem schriftlichen Austausch über mehrere Tage schickte sie Imankulov einen Link zu einem öffentlichen Github-Repository und bat ihn um Unterstützung bei der Behebung eines Problems mit veralteten Node-Modulen.
"Es ist nicht ungewöhnlich, um eine Überprüfung einer bestehenden Codebasis zu bitten, aber irgendetwas kam mir seltsam vor und ließ bei mir die Alarmglocken läuten, also beschloss ich, etwas übervorsichtig zu sein", schreibt Imankulov in seinem Blog.
Backdoor lädt Code nach
Statt den Code also direkt auf sein eigenes System zu laden und ihn dort zu untersuchen, richtete Imankulov sich einen virtuellen Server bei Hetzner ein. Anschließend klonte er darauf das Github Repo und ließ den Code von dem KI-Agenten Pi(öffnet im neuen Fenster) im Read-only-Modus analysieren. Und der Agent wurde auch schnell fündig: Das Projekt enthielt eine Backdoor, versteckt in einer als Testsuite getarnten Datei (app/test/index.js).
Wie Imankulov schildert, enthielt die Datei unzählige auskommentierte Testfälle. Irgendwo dazwischen war jedoch der Schadcode versteckt. Dessen Zweck war es, weiteren Code von einem externen Server nachzuladen und lokal zur Ausführung zu bringen.
Die Backdoor war so implementiert, dass sie über ein Prepare-Skript automatisch ausgeführt wird, sobald ein Entwickler mit dem Befehl "npm install" die Abhängigkeiten installiert. Genau das ist aber auch das Erste, was einem Entwickler in den Sinn kommen dürfte, wenn er nach Problemen mit veralteten Node-Modulen sucht, wie die angebliche Recruiterin es erbeten hatte.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.