Nx Console VS Code एक्सटेंशन सप्लाई‑चेन अटैक: डेवलपर्स के लिए जरूरी जानकारी

मैलिशियस एक्सटेंशन कैसे काम करता था

इंस्टॉल होने के बाद एक्सटेंशन सामान्य दिखता था। लेकिन जैसे ही डेवलपर कोई वर्कस्पेस खोलता, यह चुपचाप एक छिपा हुआ पेलोड डाउनलोड करके चलाता था।

सुरक्षा शोधकर्ताओं ने पाया कि यह एक्सटेंशन लगभग 498 KB का obfuscated payload डाउनलोड करता था, जो Nx के GitHub इन्फ्रास्ट्रक्चर में छिपे एक कमिट से लाया जाता था।

यह पेलोड विशेष रूप से डेवलपर मशीनों से क्रेडेंशियल और सीक्रेट्स इकट्ठा करने के लिए बनाया गया था।

किन क्रेडेंशियल्स को निशाना बनाया गया

मैलवेयर ने डेवलपर वातावरण में आम तौर पर मौजूद संवेदनशील डेटा को खोजने की कोशिश की, जैसे:

• GitHub tokens और GitHub Actions secrets
• npm tokens और OIDC एक्सचेंज क्रेडेंशियल्स
• AWS credentials और IAM authentication data
• Kubernetes configuration और cluster credentials
• HashiCorp Vault tokens
• SSH private keys
• Docker credentials
• Google Cloud credentials
• API keys और connection strings
• अगर op CLI सेशन खुला हो तो 1Password vault डेटा

चुराए गए डेटा को HTTPS requests, GitHub API या DNS‑आधारित चैनलों के जरिए हमलावर के सर्वर तक भेजा जा सकता था।

मैलवेयर ने सिस्टम में स्थायित्व (Persistence) कैसे बनाया

केवल डेटा चोरी ही नहीं, इस हमले का लक्ष्य सिस्टम में लंबे समय तक पहुंच बनाए रखना भी था।

सुरक्षा सलाह में कुछ फाइलों और संकेतों का उल्लेख किया गया है जो persistence के लिए बनाए जा सकते थे:

• ~/.local/share/kitty/cat.py
• ~/Library/LaunchAgents/com.user.kitty-monitor.plist
• /var/tmp/.gh_update_state
• /tmp/kitty-* नाम वाले अस्थायी फाइल

मैलवेयर निम्न गतिविधियाँ भी कर सकता था:

• cat.py चलाने वाला Python process शुरू करना
• ऐसे processes बनाना जिनमें environment variable __DAEMONIZED=1 मौजूद हो

ऑपरेटिंग सिस्टम के अनुसार तरीका अलग था:

• macOS: LaunchAgent बनाकर हर बार सिस्टम स्टार्ट पर चलने की कोशिश
• Linux: सिस्टम कॉन्फ़िगरेशन में बदलाव (जैसे sudoers injection) के जरिए persistence

इससे हमलावर एक्सटेंशन हटाए जाने के बाद भी मशीन पर पहुंच बनाए रख सकता था।

यह हमला क्यों खास मायने रखता है

यह घटना अकेली नहीं है। इससे पहले अगस्त 2025 में Nx ecosystem पर बड़ा npm supply‑chain attack हुआ था। उस हमले में मैलिशियस nx पैकेज और प्लगइन्स npm पर प्रकाशित किए गए थे, जो लोकल सिस्टम से क्रेडेंशियल्स स्कैन करके हमलावरों के GitHub रिपॉजिटरी में अपलोड कर रहे थे।

2026 की यह घटना दो महत्वपूर्ण सुरक्षा रुझानों को दिखाती है:

• डेवलपर मशीनें बेहद मूल्यवान लक्ष्य हैं क्योंकि उनमें क्लाउड क्रेडेंशियल, CI/CD टोकन और रिपॉजिटरी एक्सेस होता है।
• सप्लाई‑चेन अटैक अब डेवलपर टूलिंग—जैसे एक्सटेंशन, पैकेज और बिल्ड सिस्टम—को निशाना बना रहे हैं।

Nx टीम के अनुसार, इस बार मैलिशियस एक्सटेंशन संभवतः किसी डेवलपर के समझौता‑ग्रस्त GitHub क्रेडेंशियल का उपयोग करके प्रकाशित किया गया था, जिससे सामान्य सुरक्षा प्रक्रियाएँ बायपास हो गईं।

कौन‑कौन प्रभावित हो सकता था

जो डेवलपर्स निम्न समयावधि के दौरान Nx Console 18.95.0 इंस्टॉल या ऑटो‑अपडेट कर बैठे, वे जोखिम में हो सकते हैं:

• Visual Studio Marketplace: 18 मई 2026 — 12:30–12:48 UTC
• OpenVSX Registry: 18 मई 2026 — 12:33–13:09 UTC

इसमें शामिल हो सकते हैं:

• Visual Studio Code उपयोगकर्ता
• VS Code आधारित अन्य एडिटर
• OpenVSX से एक्सटेंशन इंस्टॉल करने वाले डेवलपर वातावरण

संभावित समझौते के संकेत (Indicators of Compromise)

अपने सिस्टम पर तुरंत ये चीजें जांचें:

• Nx Console version 18.95.0 इंस्टॉल हुआ हो
• फाइल मौजूद हो: ~/.local/share/kitty/cat.py
• फाइल मौजूद हो: ~/Library/LaunchAgents/com.user.kitty-monitor.plist
• फाइल मौजूद हो: /var/tmp/.gh_update_state
• /tmp/kitty-* पैटर्न वाले फाइल
• cat.py चलाने वाला Python process
• __DAEMONIZED=1 environment variable वाले processes

यदि इनमें से कोई संकेत मिलता है, तो सिस्टम को समझौता‑ग्रस्त मानना चाहिए।

तुरंत उठाए जाने वाले सुरक्षा कदम

अगर आपको शक है कि सिस्टम प्रभावित हो सकता है, तो ये कदम तुरंत उठाएँ:

1. Nx Console को 18.100.0 या उससे नए वर्ज़न में अपडेट करें।
2. cat.py या __DAEMONIZED=1 वाले किसी भी संदिग्ध process को बंद करें।
3. ऊपर सूचीबद्ध persistence फाइलों को हटाएँ।
4. macOS पर LaunchAgent हटाने से पहले इसे unload करें:

launchctl unload ~/Library/LaunchAgents/com.user.kitty-monitor.plist

5. मशीन से जुड़े सभी क्रेडेंशियल बदलें, जैसे:

• GitHub tokens
• क्लाउड क्रेडेंशियल (AWS, GCP आदि)
• API keys
• SSH keys
• CI/CD tokens

6. GitHub, क्लाउड सेवाओं और CI सिस्टम के audit logs की जांच करें कि कोई संदिग्ध गतिविधि तो नहीं हुई।

अगर वास्तविक समझौता पुष्टि हो जाए, तो अक्सर सबसे सुरक्षित विकल्प वर्कस्टेशन को क्लीन इमेज से रीबिल्ड करना और सभी क्रेडेंशियल नई मशीन से पुनः बनाना होता है।

बड़ा सबक: डेवलपर टूल भी अब अटैक का लक्ष्य

यह घटना दिखाती है कि आधुनिक सॉफ्टवेयर विकास में सप्लाई‑चेन सुरक्षा केवल लाइब्रेरी या पैकेज तक सीमित नहीं रही। अब IDE एक्सटेंशन, बिल्ड टूल और पैकेज मैनेजर भी हमलावरों के प्रमुख लक्ष्य बन चुके हैं।

क्योंकि ये टूल सीधे डेवलपर मशीनों पर चलते हैं, इनके जरिए स्रोत कोड, सीक्रेट्स और क्लाउड इन्फ्रास्ट्रक्चर तक पहुंच मिल सकती है। इसलिए संगठनों को एक्सटेंशन अपडेट की निगरानी, नियमित क्रेडेंशियल रोटेशन और डेवलपर वर्कस्टेशन सुरक्षा पर अधिक ध्यान देना होगा।