የተንኮል አዘል ኮድ አጭር መግለጫ ወርሃዊ ማጠቃለያ፡ ግንቦት

ወደ ግንቦት ወር የXygeni Malcious Code Digest እትም እንኳን በደህና መጡ። በዚህ ወር የደህንነት ምርምር ቡድናችን በሕዝብ ፓኬጅ መዝገቦች፣ በገንቢ መሳሪያዎች፣ በ AI የተደገፉ የስራ ፍሰቶች እና ዘመናዊ የሶፍትዌር አቅርቦት ሰንሰለት ስጋቶችን እየተሻሻለ ያለውን ገጽታ መከታተል ቀጥሏል። CI/CD አካባቢዎች። በግንቦት ወር ውስጥ፣ Xygeni npm፣ PyPI፣ VS Code እና OpenVSX ሥነ-ምህዳሮችን ኢላማ ያደረጉ በመቶዎች የሚቆጠሩ ተንኮል አዘል ፓኬጆችን ለይተው አረጋግጠዋል።

ነገር ግን ግንቦት ስለ ድምጽ ብቻ አልነበረም። አጥቂዎች የንግድ ሥራቸውን ከጊዜ ወደ ጊዜ ከ AI-ተወላጅ የልማት አካባቢዎች፣ ከገንቢዎች እምነት ግምቶች እና አውቶማቲክ ጋር እያስተካከሉ የሄዱበት ወርም ነበር። pipelines.

በዚህ ወር የXygeni Security Team ባሳተማቸው በጣም ታዋቂ ምርመራዎች መካከል፡

• ጁልስጃከርየጉግልን የጁልስ ኤአይ ወኪል በማስመሰል ማከማቻዎችን ለመስረቅ፣ አላግባብ መጠቀምን የሚጠይቅ ባለብዙ ደረጃ የnpm ማልዌር ዘመቻ CI/CD አካባቢዎችን እና እንዲያውም የአሸዋ ሳጥኑን በመተንተን ኢላማ ማድረግ። ዘመቻው የተመሰጠሩ የአስተናጋጅ በር ሎደሮችን አስተዋውቋል፣ የተጭበረበሩ google-labs-jules[bot] commits፣ የደመና ሜታዳታ ስርቆት፣ እና የኩበርኔትስ ቅኝት በትንታኔ መሠረተ ልማት ላይ።
• ፋንተምቦት, የሐሰት ቦርሳ፣ ብሎክቼይን እና የዌብ3 መሳሪያዎችን በመጠቀም የሐሰት የኪስ ቦርሳ፣ ብሎክቼይን እና የድር3 መሳሪያዎችን አላግባብ የሚጠቀም ተንኮል አዘል የnpm ዘመቻ የማረጋገጫ ሰርጎ በመግባት፣ የገንቢ አካባቢዎችን በማበላሸት እና ከክሪፕቶ ጋር የተያያዙ የስራ ፍሰቶችን በጥገኝነት አላግባብ መጠቀም እና በተዘጋጀ የክፍያ ጭነት አቅርቦት ኢላማ በማድረግ።
• ትልቅ መጠን ያለው ተንኮል አዘል የኤንፒኤም ሥነ-ምህዳር የሐሰት የTypeScript መገልገያዎችን፣ የAI-ገጽታ ያላቸው ፓኬጆችን፣ ውስጣዊ የመሳሪያ ማስመሰልን፣ የፊት ለፊት ቤተ-መጻሕፍትን፣ የደመና ረዳቶችን እና የግንባታ ማዕቀፎችን በመጠቀም የጣት አሻራ አካባቢዎችን የሚያራግፍ፣ የምስክርነቶችን የሚያወጣ፣ ጽናት የሚያሰማራ እና የገንቢ ስርዓቶችን የሚያጎድፍ ነው።
• የጥገኝነት ግራ መጋባትን፣ የፊደል አጻጻፍ መተቸትን፣ ድህረ-ጭነት አላግባብ መጠቀምን፣ የAI-tool ማስመሰልን፣ የስሪት ግሽበት እና ተደጋጋሚ የስም ቦታ አላግባብ መጠቀምን በመጠቀም የገንቢ ትረስት ሂዩሪስቲክስን ለማለፍ እና ዘመናዊነትን ለማላላት የተነደፉ የተንኮል አዘል ፓኬጆች ማዕበሎች SDLC ከመለየት በፊት የስራ ፍሰቶች።
• እንደ ማልዌር ያሉ የተለያዩ የመሣሪያ ስርዓቶችን የማልዌር ዘመቻዎችን ማግኘት @jaggle/resizeobserves በሊኑክስ፣ ማክሮስ እና ዊንዶውስ ሲስተሞች ላይ በፓይዘን ላይ የተመሠረተ ጽናት እና ክሪፕቶ-ዋሌት ክሊፕቦርድ ምትክን ሲያሰማራ ህጋዊ ፓኬጅን ያስመሰለ የቅንጥብ ሰሌዳ ጠላፊ።

በወሩ ውስጥ፣ በAI መሳሪያዎች፣ በክፍት ምንጭ ሥነ-ምህዳሮች እና በሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች መካከል እያደገ የመጣ ውህደትንም አስተውለናል። የስጋት ተዋናዮች በAI የታገዘ የልማት የስራ ፍሰቶችን፣ የወኪል አካባቢዎችን፣ ተባባሪ አብራሪዎችን እና በደመና-ተወላጅ ግንባታ ላይ እያነጣጠሩ መጥተዋል pipelineእንደ ሰፋ ያለ የማረጋገጫ ስርቆት እና የማከማቻ ስምምነት ስራዎች አካል።

እነዚህ ጥቃቶች ከአሁን በኋላ ቀላል የፊደል አጻጻፍ ጉዳዮች ብቻ አይደሉም። እነዚህም የተቀናጁ የህትመት ዘመቻዎችን፣ አውቶማቲክ የስሪት ፍንዳታዎችን፣ የደመና ማስመሰያ ስርቆትን፣ CI/CD አላግባብ መጠቀም፣ የተመሰጠረ የክፍያ ጭነት ዝግጅት፣ የአሸዋ ሳጥን ማምለጫ እና በተለይ ከታመኑ የገንቢ ሥነ-ምህዳሮች ጋር እንዲዋሃዱ የተነደፉ የማያቋርጥ የስምምነት ቴክኒኮች።

ይህ ወርሃዊ ዝመና የXygeni ቀጣይነት ያለው የማልዌር እና የአቅርቦት ሰንሰለት ስጋት ምርምር ተነሳሽነት አካል ሲሆን ቡድናችን ተንኮል አዘል ፓኬጆችን ያለማቋረጥ የሚያረጋግጥበት፣ ብቅ ያሉ የጥቃት ቅጦችን የሚመረምርበት እና ደህንነትን ለማገዝ ተግባራዊ መረጃ የሚያትምበት ሲሆን የAppSec እና የDevSecOps ቡድኖች ከአቅርቦት ሰንሰለት ስጋት ቀድመው እንዲቀጥሉ ይረዳል።

በዚህ ወር የታተመውን እያንዳንዱን የተንኮል አዘል ፓኬጅ፣ የማልዌር ዘመቻ እና የዛቻ ትንተና ሙሉ አውድ ለማግኘት፣ ከXygeni Security Team የተገኘውን የግንቦት ተንኮል አዘል ኮድ ዳይጀስት እና ተዛማጅ ጥናቶችን ይመርምሩ።