L’IDE del developer diventa il varco della supply chain
La vera superficie d’attacco non è lo store dell’estensione, ma il workstation del developer e tutto ciò che da lì si può raggiungere. Quando un plugin fidato entra nell’IDE, diventa il percorso di esecuzione creduto legittimo: basta per sottrarre credenziali cloud, SSH e Kubernetes e poi allargare il furto ai repository interni.
TeamPCP avrebbe compromesso un account di un dipendente GitHub per pubblicare Nx Console v18.95.0 su Visual Studio Marketplace e OpenVSX. La seconda fase non ha usato un server sospetto, ma npx verso un repository GitHub reale, passando così dentro flussi di lavoro normali e arrivando a esfiltrare circa 3.800 repository; il quadro riguarda anche token Vault e credenziali AWS.
Per chi gestisce workstation di sviluppo, il controllo dei soli blocchi di rete o degli endpoint tradizionali non basta se l’IDE può eseguire comandi e parlare con package manager e repository fidati. Qui la compromissione di un singolo plugin basta a trasformare una postazione in un punto di pivot verso cloud e codice sorgente.