Xygeni Kwaadwillige Kode Digest 73

Amper elke week, ons wanware-opsporingstelsels skandeer duisende nuwe en opgedateerde pakkette oor openbare registers soos npm en PyPI. Hierdie week was baie aktief.

Ons het bevestig 198 kwaadwillige pakkette, hoofsaaklik oor npm, met bykomende gevalle in PyPI, OpenVSX, Composer, en VS Code uitbreidings. Verskeie het in gekoördineerde groepe verskyn, met herhaalde kwaadwillige vrystellings gepubliseer onder dieselfde name of oor nou verwante pakketfamilies. 'n Uitstaande geval was die sensivity pakket, wat npm oorstroom het met meer as 60 weergawes oor die 2.5.x-reeks. Ander noemenswaardige groepe het ingesluit ai-sdk-helpers (8 weergawes wat KI-ontwikkelaars teiken), @antoncallahan/aws-user-helper (7 weergawes wat 'n AWS-hulpprogram naboots), @apple-pay-trust en @google-pay-trust families (wat betalingsafhandelingsmodules naboots), @frengki0707/google-cloud-clone (5 weergawes wat Google Cloud namaak), en cms-storehub, cms-helpgit, en cms-github (teiken CMS) pipelines). Baie pakkette het betalings- en afhandelingsmodules nageboots, enterprise en interne webpakkette, analitiese kliënte, UI-fondamente, ontwikkelaarshulpprogramme, komponentverkenners, wolk- en Google-temapakkette, en ander modules wat algemeen in moderne ontwikkelingswerkvloeie vertrou word.

Dit was nie geïsoleerde afwykings nie. Wat hierdie week uitgestaan ​​het, was die omvang van herhaalde publikasie oor dieselfde pakketfamilies, die hergebruik van naamgewingspatrone, en die manier waarop kwaadwillige pakkette vermom is om soos wettige afhanklikhede binne werklike sagteware-aflewering te lyk. pipelines.

Hierdie weeklikse momentopname is deel van ons deurlopende Malicious Code Digest, waar ons nuwe bedreigings valideer en bruikbare intelligensie verskaf om DevSecOps-spanne te help om hul ... te beskerm. pipelines voordat skade plaasvind.

Kom ons kyk na wat ons hierdie week gevind het en hoekom dit saak maak.