El malware denominado Sandworm_Mode está afectando entornos de desarrollo de software que utilizan herramientas de inteligencia artificial (IA), poniendo en riesgo la seguridad de las cadenas de suministro de software. Detectado inicialmente en febrero por Socket y analizado por CrowdStrike, este gusano se propaga a través de repositorios de código con gran sigilo y capacidad de auto-replicación.
Por qué importa: Sandworm_Mode representa una amenaza creciente para la seguridad en el desarrollo de software con IA, ya que roba credenciales y claves que permiten acceso a servicios críticos, dificultando la detección por la gran cantidad de actividad legítima en estos entornos.
Lo esencial
- Sandworm_Mode se propaga en entornos con herramientas de IA para desarrollo, afectando repositorios de código.
- Roba credenciales, claves API y secretos que permiten acceso a servicios en la cadena de herramientas de IA.
- El malware se oculta entre miles de comandos diarios y destruye entornos comprometidos si no logra expandirse.
Sandworm_Mode y su modo de propagación sigiloso
Este malware se infiltra en flujos de trabajo automatizados de desarrollo, incluyendo pipelines de integración continua y despliegue continuo (CI/CD). Su capacidad para mezclarse con el ruido generado por miles de comandos diarios en entornos con IA dificulta su detección. Además, establece retrasos de varios días entre la infección inicial y las acciones maliciosas posteriores, creando brechas en la telemetría que complican la atribución y respuesta.
Robo de datos sensibles en la cadena de herramientas IA
Sandworm_Mode extrae datos críticos como credenciales, claves API y secretos que permiten el acceso a servicios en la cadena de herramientas de IA. Esto incluye asistentes de IA, proveedores en la nube, claves para nueve grandes modelos de lenguaje (LLM) y sistemas automatizados que construyen, prueban y publican código. Esta capacidad amplía el alcance del ataque y pone en riesgo múltiples dependencias.
