यह पेलोड विशेष रूप से डेवलपर मशीनों से क्रेडेंशियल और सीक्रेट्स इकट्ठा करने के लिए बनाया गया था।
मैलवेयर ने डेवलपर वातावरण में आम तौर पर मौजूद संवेदनशील डेटा को खोजने की कोशिश की, जैसे:
op CLI सेशन खुला हो तो 1Password vault डेटाचुराए गए डेटा को HTTPS requests, GitHub API या DNS‑आधारित चैनलों के जरिए हमलावर के सर्वर तक भेजा जा सकता था।
केवल डेटा चोरी ही नहीं, इस हमले का लक्ष्य सिस्टम में लंबे समय तक पहुंच बनाए रखना भी था।
सुरक्षा सलाह में कुछ फाइलों और संकेतों का उल्लेख किया गया है जो persistence के लिए बनाए जा सकते थे:
~/.local/share/kitty/cat.py~/Library/LaunchAgents/com.user.kitty-monitor.plist/var/tmp/.gh_update_state/tmp/kitty-* नाम वाले अस्थायी फाइलमैलवेयर निम्न गतिविधियाँ भी कर सकता था:
cat.py चलाने वाला Python process शुरू करना__DAEMONIZED=1 मौजूद होऑपरेटिंग सिस्टम के अनुसार तरीका अलग था:
यह घटना अकेली नहीं है। इससे पहले अगस्त 2025 में Nx ecosystem पर बड़ा npm supply‑chain attack हुआ था। उस हमले में मैलिशियस nx पैकेज और प्लगइन्स npm पर प्रकाशित किए गए थे, जो लोकल सिस्टम से क्रेडेंशियल्स स्कैन करके हमलावरों के GitHub रिपॉजिटरी में अपलोड कर रहे थे।
2026 की यह घटना दो महत्वपूर्ण सुरक्षा रुझानों को दिखाती है:
Nx टीम के अनुसार, इस बार मैलिशियस एक्सटेंशन संभवतः किसी डेवलपर के समझौता‑ग्रस्त GitHub क्रेडेंशियल का उपयोग करके प्रकाशित किया गया था, जिससे सामान्य सुरक्षा प्रक्रियाएँ बायपास हो गईं।
जो डेवलपर्स निम्न समयावधि के दौरान Nx Console 18.95.0 इंस्टॉल या ऑटो‑अपडेट कर बैठे, वे जोखिम में हो सकते हैं:
इसमें शामिल हो सकते हैं:
अपने सिस्टम पर तुरंत ये चीजें जांचें:
~/.local/share/kitty/cat.py~/Library/LaunchAgents/com.user.kitty-monitor.plist/var/tmp/.gh_update_state/tmp/kitty-* पैटर्न वाले फाइलcat.py चलाने वाला Python process__DAEMONIZED=1 environment variable वाले processes यदि इनमें से कोई संकेत मिलता है, तो सिस्टम को समझौता‑ग्रस्त मानना चाहिए।
अगर आपको शक है कि सिस्टम प्रभावित हो सकता है, तो ये कदम तुरंत उठाएँ:
cat.py या __DAEMONIZED=1 वाले किसी भी संदिग्ध process को बंद करें।launchctl unload ~/Library/LaunchAgents/com.user.kitty-monitor.plist
अगर वास्तविक समझौता पुष्टि हो जाए, तो अक्सर सबसे सुरक्षित विकल्प वर्कस्टेशन को क्लीन इमेज से रीबिल्ड करना और सभी क्रेडेंशियल नई मशीन से पुनः बनाना होता है।
यह घटना दिखाती है कि आधुनिक सॉफ्टवेयर विकास में सप्लाई‑चेन सुरक्षा केवल लाइब्रेरी या पैकेज तक सीमित नहीं रही। अब IDE एक्सटेंशन, बिल्ड टूल और पैकेज मैनेजर भी हमलावरों के प्रमुख लक्ष्य बन चुके हैं।
क्योंकि ये टूल सीधे डेवलपर मशीनों पर चलते हैं, इनके जरिए स्रोत कोड, सीक्रेट्स और क्लाउड इन्फ्रास्ट्रक्चर तक पहुंच मिल सकती है। इसलिए संगठनों को एक्सटेंशन अपडेट की निगरानी, नियमित क्रेडेंशियल रोटेशन और डेवलपर वर्कस्टेशन सुरक्षा पर अधिक ध्यान देना होगा।
Comments
0 comments