Týká se vás to?
- Týká se: přímo počítačů, na které se strutil-core 1.0.1 nainstaloval. Podle nás by podstrčené soubory měl hledat každý tým, jehož vývojáři instalují open-source balíčky a používají AI nástroje pro programování (Claude Code, Codex, Cursor, Gemini) nebo VS Code.
- Netýká se vás, pokud: nikdo ve firmě neinstaluje balíčky ani nepoužívá programovací agenty.
Co udělat
- Pokud používáte Ruby: projděte soubory Gemfile.lock, cache CI a obrazy kontejnerů, jestli v nich není strutil-core.
- V repozitářích a domovských adresářích: hledejte změny, které nikdo neudělal, v souborech AGENTS.md, CLAUDE.md, .claude/settings.json, .cursor/mcp.json, nastavení .gemini, .vscode/tasks.json nebo .github/init.js, dále MCP server (nástroj, který si AI asistent může spustit) jménem workspace-tools a SessionStart hooky (příkazy spouštěné při startu relace).
- Známky infekce: služby pkg-runtime nebo net-health-checker, soubory ~/.config/index.js nebo /var/tmp/.fontconfig_state, nové veřejné repozitáře ve vaší organizaci na GitHubu s popisem project-utils nebo commity obsahující AutoSyncComplete.
- Pokud je počítač napadený: odpojte ho od sítě. Odstraňte net-health-checker a pkg-runtime, teprve pak zneplatněte token GitHubu, z čistého zařízení změňte všechny přihlašovací údaje, ke kterým měl počítač přístup, a počítač přeinstalujte. Samotné odstranění gemu nestačí.
- Nedělejte: nezneplatňujte token GitHubu jako první – když token přestane fungovat, net-health-checker smaže uživateli domovský adresář.
- Podle nás nechte zapnutou funkci důvěryhodnosti pracovního prostoru (Workspace Trust) i dotazy na schválení akcí; Socket uvádí, že na nich závisí, jestli otevření repozitáře červa znovu spustí.
Co víme – a co ne
- Čistá verze 1.0.0 vyšla necelé dvě hodiny před škodlivou 1.0.1. Socket nenašel žádné projekty, které by na gemu závisely, a žádné oběti nepotvrdil.
- V sandboxu firmy Bitbison gem četl soubory jako .claude/.credentials.json a .codex/auth.json. Ostatní zjištění Socketu vycházejí z rozboru kódu.
- Podstrčený AGENTS.md agentům říká, aby před prvním příkazem spustili instalační skript; úloha pro VS Code se spustí při otevření složky.
- Kód umí znovu publikovat balíčky na npm a PyPI; Socket u tohoto gemu žádné takové zveřejnění nezaznamenal. Kolik systémů ho nainstalovalo, není známo. Balíček pystr-codec na PyPI používá stejný sběrný server.
- Socket řadí červa do rodiny Miasma postavené na sadě Shai-Hulud, která je veřejná od května 2026, takže společný kód nedokazuje jediného útočníka.
Proč na tom záleží
Instrukční soubory pro agenty vypadají jako dokumentace a nikdo je nekontroluje jako kód. Programovací agent se jimi přesto řídí. Repozitář už není jen něco, co vaše nástroje čtou, ale i něco, podle čeho jednají.