GitHub потерял 3800 репозиториев из-за плагина VS Code

GitHub признал компрометацию примерно 3800 внутренних репозиториев после банальной, почти унизительной ошибки: сотрудник поставил вредоносное расширение для Visual Studio Code. Группировка TeamPCP заявляет, что унесла около 3800 приватных проектов и уже торгует архивом на Breached с минимальной ценой в $50 тысяч. История неприятна не только для GitHub. Она бьёт по всей цепочке разработки, где редактор кода давно стал точкой входа в

корпоративную инфраструктуру. Когда плагин получает токены, доступ к репозиториям и привычно живёт рядом с IDE, разница между «удобным инструментом» и трояном исчезает очень быстро. Как взломали GitHub через расширение VS Code По версии GitHub, заражённый плагин уже удалили из VS Code

Marketplace, а устройство сотрудника изолировали. Компания отдельно говорит, что не нашла признаков утечки пользовательских данных за пределами внутренних репозиториев. Формулировка ожидаемая, но утешение слабое: внутренние репозитории у платформы такого масштаба могут содержать инструменты сборки, служебные библиотеки, тестовую инфраструктуру и куски

того, что потом доезжает до миллионов пользователей. TeamPCP подаёт атаку без обычного спектакля про выкуп. Логика у них простая: либо кто-то платит, либо массив выкладывают бесплатно. Для подпольных форумов это удобная модель. Деньги можно получить сразу,

а можно заработать репутацию, слив архив в открытый доступ и запустив вторичную волну атак уже руками других групп. Сам вектор давно известен. Расширения в редакторах разработки имеют доступ туда, куда безопасники обычно не любят смотреть слишком внимательно: локальные файлы, переменные окружения, токены

CLI, SSH-ключи, историю команд. В корпоративной среде этого часто хватает, чтобы уйти далеко за пределы одного ноутбука. Почему расширения VS Code стали удобной точкой входа Visual Studio Code давно стал де-факто стандартом для разработки. В опросах Stack

Overflow последних лет он стабильно держался в лидерах среди редакторов у профессиональных разработчиков, то есть атаковать его экосистему выгодно чисто статистически. Чем массовее инструмент, тем меньше злоумышленникам нужен изысканный эксплойт. Достаточно правдоподобного описания и пары хороших отзывов. Microsoft уже не первый раз чистит Marketplace от мусора с сюрпризом внутри.

За последние годы там находили плагины с майнерами, похитителями данных и примитивными шифровальщиками. Проблема в том, что маркетплейс расширений по устройству доверия напоминает старый интернет: быстро публиковать удобно, а проверять всё подряд дорого и скучно, значит проверка неизбежно

отстаёт. Это та же логика supply chain-атак, которую индустрия наблюдает после SolarWinds и 3CX, только в более приземлённой форме. Не нужно ломать периметр компании в лоб, если можно подсунуть инструмент разработчику. В редакторах, сборщиках пакетов и

CI-сервисах сегодня хранится достаточно привилегий, чтобы один заражённый компонент быстро превратился в системную проблему. Что известно о TeamPCP и масштабе ущерба TeamPCP уже связывали с атаками на экосистемы PyPI, npm и Docker, а также с кампанией Mini Shai-Hulud, где среди затронутых фигурировали сотрудники OpenAI. Это важная деталь: речь идёт не о случайной группе, которая сорвала удачу один раз, а о команде, методично работающей по слабым местам цепочки

поставок ПО. Их профиль прост: заразить привычный инструмент, тихо собрать секреты, продать доступ или код тем, кому он нужнее. Для GitHub ставка выше обычной. Сервисом пользуются более 180 млн разработчиков и около 4 млн организаций, включая 90% компаний из Fortune 100. Когда такой игрок получает пробоину через плагин

редактора, индустрия получает неприятное напоминание: главный риск давно сидит не в экзотических zero-day, а в ежедневных мелочах, которые все ленятся считать угрозой. Архив TeamPCP выставил на продажу с минимальной ценой $50 тысяч.

GitHub потерял 3800 репозиториев из-за плагина VS Code

Сообщает itzine.ru

Новость из рубрики: Технологии и Hi-Tech

Поделиться новостью: Поделиться новостью в Facebook Поделиться новостью в Twittere Поделиться новостью в VK Поделиться новостью в Pinterest Поделиться новостью в Reddit

Топ Новости Недели

02:00, 21 Май GitHub признал взлом 3800 репозиториев через расширение VS Code Администрация GitHub подтвердила факт масштабного взлома. Около 3800 репозиториев веб-сервиса подверглись взлому после того, как один из его сотрудни...

20:00, 13 Май В России могут заблокировать GitHub Доступ к крупнейшему мировому репозиторию программного кода GitHub оказался под вопросом. 13 мая 2026 года депутат Государственной Думы Антон Горелки...

16:00, 09 Май Роскомнадзор опроверг блокировку GitHub. Что случилось с доступом к платформе Федеральное ведомство выступило с официальным заявлением после того, как в сети появилась информация о проблемах российских пользователей с доступом ...

17:00, 15 Июл В России не открываются Google, Apple и GitHub. Сбой или блокировка? Утром многие уже успели понервничать: у части пользователей перестали работать ссылки t.me на телеграм. Не успели все выдохнуть, как подоспела новая ...

00:00, 11 Авг Anthropic Claude Code-u avtomatik işləyən rejimə keçirir Anthropic Claude Code proqramlaşdırma alətində avtomatik rejimi əsas seçimə çevirməyə hazırlaşır. 14 avqustdanetibarən Pro, Max və Team hesablarında ...

00:00, 19 Июн Xiaomi представила ИИ-агента MiMo Code с открытым кодом Компания Xiaomi анонсировала нового ИИ-агента MiMo Code, предназначенного для программирования и решения сложных задач. Разработчики позиционируют но...

12:00, 27 Июл Claude Code научился сам создавать приложения для айфона и тестировать их на Mac Anthropic обновил Claude Code для настольных компьютеров и научил его работать с iOS Simulator, встроенным в Mac инструментом, который показывает при...

Meta* запустила Muse Code свой кодовый агент в ранней бете 04:00, 06 Авг Meta* запустила Muse Code — свой кодовый агент в ранней бете Meta* объявила раннюю бета-версию Muse Code, нового кодового агента, который компания выводит в конкуренцию с Claude Code от Anthropic и Codex от Ope...

11:00, 09 Июл В Claude Code обнаружен бэкдор — нейросеть следит за пользователями и собирает данные без спроса Китайские власти предупредили местные компании о потенциальных рисках безопасности, связанных с использованием Claude Code — популярного инструмента ...

16:00, 26 Апр Главное за неделю: GitHub режет лимиты, в Максе появились стикеры, Павел Дуров поёт шансон, NASA доделало новый телескоп Привет, гики. Собрали самое интересное за неделю в совместном подкасте itzine.ru и Telegram-канала Forgeeks. Расскажем, почему Павел Дуров теперь Дур...

14:00, 16 Сен Искусственный интеллект потребляет огромное количество электроэнергии. 96% Claude Code ушло на перечитывание собственной рабочей памяти Климатолог подсчитал среднедневное использование Claude Code: до 5,9 кВт·ч, 3,2 миллиарда токенов за 8 недель Климатолог Зик Хаусфазер (Zeke Hausfath...

12:00, 21 Июн Потерял ли Belgee X50+ драйв после добавления «лишнего» цилиндра? С момента появления модели Belgee X50 ее называли бестселлером белорусско-китайской марки. По итогам прошлого года он вошел в топ-5 самых популярных ...

13:00, 14 Авг Solaris потерял 55% продаж в июле и выбыл из топ-10 российского авторынка Продажи автомобилей Solaris в России продолжают снижаться. В июле 2026 года дилеры реализовали 1490 машин этой марки, что на 55% меньше, чем годом ра...

03:00, 12 Июл Электрокроссовер «Москвич 3е» подешевел на 669 тыс. рублей, но потерял в запасе хода Автозавод «Москвич» назвал цену электрокроссовера «Москвич 3е» 2026 модельного года. Базовая стоимость — 3,5 млн рублей. Это на 516 тыс. рублей меньш...

18:00, 25 Июл Маск потерял статус триллионера из-за обрушения акций SpaceX Американский бизнесмен Илон Маск заявил, что больше не является триллионером. Состояние предпринимателя резко сократилось 24 июля после обрушения сто...

00:00, 17 Июл Итальянский бизнес потерял 40 млрд долларов за четвре года Западные санкции обошлись итальянским предпринимателям в России более чем в 40 млрд евро, однако многие компании по-прежнему сохраняют присутствие на...

08:00, 16 Июн Мошенничество с «социальными выплатами»: житель Заречного потерял 330 тысяч рублей Pro ГородВ Межмуниципальном отделе МВД России по закрытому административно-территориальному образованию (ЗАТО) Заречный возбуждено уголовное дело по ...

05:00, 05 Авг Внесённый в список экстремистов и террористов Павел Дуров потерял 1,8 млрд долларов Состояние основателя Telegram Павла Дурова, которого российские власти на днях внесли в список экстремистов и террористов, с начала года снизилось на...

03:00, 18 Июн Продал вещь — потерял всё: как мошенники оформляют кредиты через ссылку на Авито Кажется, что продать старый диван или ненужный телефон на доске объявлений — дело пары кликов. Но сегодня обычная сделка в интернете напоминает прогу...

09:00, 25 Май Евросоюз потерял до $1 трлн из-за отказа от российского сырья. Цифры озвучил МИД России Отказ Европы от российских энергоносителей и сырья обернулся огромными экономическими потерями. Директор департамента экономического сотрудничества М...

23:00, 09 Июл Заварил лапшу — потерял место в купе: РЖД озвучили новые правила - как теперь будем путешествовать фото Progorod58 За саму лапшу из поезда не высадят. Но конфликт из-за запаха, хамство и нарушение спокойствия соседей уже могут обернуться проблемами...

17:00, 03 Авг Материнский капитал потерял 38% покупательной способности за 10 лет. Сколько жилья можно купить на него сейчас Несмотря на то что размер маткапитала вырос более чем в два раза — с 453 тысяч до 963 тысяч рублей, — его реальная ценность для покупки жилья серьёзн...

19:00, 07 Май Вальверде обвинил Тчуамени в сливе их вчерашней ссоры, француз просил его остановиться, а затем ударил. Уругваец потерял сознание, его вывезли на инвалидном кресле As раскрыл дополнительные подробности потасовки Федерико Вальверде и Орельена Тчуамени. Ранее сообщалось, что футболисты подрались во время командной...

18:00, 23 Июл Кариус об ошибках в финале ЛЧ-2018: «Я упал на дно и потерял любовь к футболу – не хотел тренироваться и играть. Казалось, что никто не сможет помочь мне выбраться из этой ямы» Экс-вратарь «Ливерпуля» Лорис Кариус рассказал, как переживал неудачу в финале Лиги чемпионов. В финале ЛЧ-2018 года, в котором английская команда пр...

22:00, 26 Июл «Машук-КМВ» из-за пожара на базе потерял «практически все имущество»: «Огонь полностью уничтожил третий этаж. Просмотровый футболист проснулся и покинул здание, никто не пострадал» «Машук-КМВ» из LEON Второй лиги сообщил о потере почти всего имущества в результате серьезного пожара на клубной базе. «В ночь на 26 июля, ориентиров...

07:00, 19 Авг Родри перешел в «Барсу», поражения ЦСКА и «Локомотива», «Динамо» идет в ЭСК, Мусиала снова потерял сознание, Израиль отозвал поддержку Инфантино и другие новости 1. ЦСКА проиграл «Акрону» в 2-м туре Фонбет Кубка России дома – 0:1. Аревало забил и получил красную, гол Кисляка на 85-й отменили из-за офсайда. «Ло...

14:00, 08 Июн Зверев выиграл «Ролан Гаррос», Перес переизбран президентом «Реала», Антонелли победил в Монако, Эриксен потерял сознание на поле, Макдэвид взял «Тед Линдсей Эворд», Ефимова отобралась на ЧЕ, Дюплантис проиграл и другие новости 1. Александр Зверев стал чемпионом «Ролан Гаррос», выиграв первый турнир «Большого шлема» в карьере. В финале 29-летний немец победил итальянского те...