GitHub bị tấn công qua tiện ích mở rộng VS Code độc hại

GitHub vừa chính thức xác nhận một sự cố bảo mật nghiêm trọng liên quan đến các kho lưu trữ nội bộ của hãng. Nguyên nhân được xác định bắt nguồn từ việc một thiết bị của nhân viên đã cài đặt phiên bản bị nhiễm mã độc của Nx Console, một tiện ích mở rộng phổ biến trên Visual Studio Code (VS Code).

Sự cố này xảy ra sau khi đội ngũ phát triển Nx Console bị tấn công, bắt nguồn từ chiến dịch tấn công chuỗi cung ứng nhắm vào TanStack trước đó. Ngoài GitHub, nhiều tổ chức công nghệ lớn khác như OpenAI, Mistral AI và Grafana Labs cũng chịu ảnh hưởng từ vụ việc này.

Theo Alexis Wales, Giám đốc An ninh thông tin (CISO) của GitHub, hiện chưa có bằng chứng cho thấy dữ liệu khách hàng bên ngoài các kho lưu trữ nội bộ bị ảnh hưởng. Tuy nhiên, một số kho nội bộ có chứa thông tin hỗ trợ khách hàng, và GitHub cam kết sẽ thông báo nếu phát hiện bất kỳ tác động nào đến dữ liệu người dùng.

Nhóm tội phạm mạng đứng sau vụ tấn công, được gọi là TeamPCP, đã khai thác lỗ hổng này để đánh cắp khoảng 3.800 kho lưu trữ. GitHub đã thực hiện các biện pháp ngăn chặn, xoay vòng các mã bí mật (secrets) quan trọng và đang tiếp tục theo dõi tình hình.

Điều đáng chú ý là phiên bản độc hại của tiện ích mở rộng này chỉ tồn tại trên Visual Studio Marketplace trong vòng 18 phút vào ngày 18/5/2026. Dù thời gian rất ngắn, nó đã đủ để kẻ tấn công phát tán mã độc đánh cắp thông tin đăng nhập từ 1Password, cấu hình Anthropic Claude Code, npm, GitHub và AWS.

Các chuyên gia bảo mật cảnh báo rằng cơ chế auto-update (tự động cập nhật) mặc định trên các marketplace hiện nay đang trở thành một “con dao hai lưỡi”. Khi một nhà phát hành bị xâm nhập, cơ chế này vô tình trở thành kênh phân phối trực tiếp mã độc đến hàng loạt máy tính của các nhà phát triển mà không thông qua bất kỳ quy trình kiểm duyệt nào.

Vụ việc một lần nữa gióng lên hồi chuông cảnh báo về tính bảo mật của các công cụ phát triển và sự mong manh của chuỗi cung ứng phần mềm hiện đại, nơi mà một mắt xích bị lỗi có thể dẫn đến sự sụp đổ dây chuyền.

Nguồn tham khảo: The Hacker News