Die FakeGit-Kampagne nutzt gefälschte GitHub-Repositories mit kopierten Projekten und täuschend echten Entwicklerprofilen, um SmartLoader-Malware über vermeintliche KI-Tools und MCP-Server einzuschleusen.
Angreifer können Entwicklerumgebungen durch klassische, einfach ausnutzbare Bugs mit minimaler Nutzerinteraktion kompromittieren und alle darin gespeicherten Secrets und Quellcodes abgreifen.
Rund 290 gefälschte GitHub-Repositorys geben sich als legitime Security- und Developer-Tools aus und verbreiten Infostealer, um Zugangsdaten und sensible Daten von Entwicklerinnen zu kompromittieren.
Angreifer nutzten einen OIDC-Token, um gefälschte TanStack-Pakete in npm zu verteilen und dadurch Cloud-Credentials sowie Authentifizierungstokens zu exfiltrieren.
actions/checkout v7 schlägt fehlgeschlagene Workflows ab, die pull_request_target oder workflow_run mit unverifiziertem Fork-Code nutzen – ein Schritt zur „Security by Default“-Philosophie.
Mindestens 15 malware-Plugins im JetBrains Marketplace zielten darauf ab, KI-API-Schlüssel von Entwicklern zu stehlen und damit auf firmeninterne Dienste zuzugreifen.
VSCode verzögert Erweiterungs-Updates automatisch um zwei Stunden nach Veröffentlichung, um die Ausbreitungszeit von kompromittierten Versionen zu minimieren.
Eine in Rust geschriebene Malware kompromittiert NPM-Pakete, stiehlt Entwickler-Credentials und nutzt diese zur Ausbreitung in der Software-Lieferkette.
Eine One-Click-Attacke auf VS Code ermöglicht es Angreifern, vollständige GitHub OAuth-Token mit Schreib- und Lesezugriff auf private Repositories zu stehlen.
