🔥 Плагины JetBrains крадут AI API-ключи, расширения Chrome перехватывают чаты С октября 2025 года на JetBrains Marketplace работала скоординированная кампания: 15 вредоносных плагинов, маскирующихся под AI-ассистенты для чатов, коммитов, ревью кода и юнит-тестов. Плагины реально выполняли заявленные функции, но введённый API-ключ к OpenAI, DeepSeek или SiliconFlow в открытом виде уходил на сервер 39.107.60.51. Два самых скачиваемых — CodeGPT AI Assistant и DeepSeek AI Assist — набрали более 25 000 загрузок каждый, хотя счётчики могли быть накручены. Особенность этой операции: жертве предлагали «платный тир» — небольшой донат через встроенную стену пожертвований, после чего плагин начинал использовать чужой скомпрометированный ключ, превращая атаку в сервис перепродажи доступа. Одновременно обнаружены два расширения Chrome, которые под видом блокировщиков рекламы перехватывают историю бесед с ChatGPT, Claude, Gemini, Copilot, DeepSeek, Grok и Meta AI. Smart Adblocker (90 000 пользователей) и Adblock for Browser (10 000) годами спокойно существовали в магазине, но недавние обновления добавили функционал сбора модели использования ИИ и уровня подписки — данные отправляются на сервер оператора без внятного согласия, прикрываясь формулировкой «Enhanced Protection». Операция названа PromptSnatcher. • 15 плагинов JetBrains: утечка ключей на 39.107.60.51 через HTTP (включая CodeGPT AI Assistant и DeepSeek AI Assist) • Smart Adblocker (ID: iojpcjjdfhlcbgjnpngcmaojmlokmeii) — 90 000 установок • Adblock for Browser (ID: jcbjcocinigpbgfpnhlpagidbmlngnnn) — 10 000 установок • Перехват чатов на 8 платформах: ChatGPT, Claude, Gemini, Copilot, Perplexity, DeepSeek, Grok, Meta AI Схема с плагинами показывает переход от разовых краж к модели «API-ключ как услуга»: жертва сама платит за эксплуатацию своего же токена, пока реальный владелец оплачивает счета за чужие запросы. Для SOC это означает, что мониторинг исходящих соединений с IDE на 39.107.60.51 даёт быстрый способ выявить компрометацию там, где агенты EDR не всегда смотрят. The Hacker News #JetBrains #APIKeyTheft #SupplyChain #ChromeExtensions #LLMjacking