ملخص شهري للبرمجيات الخبيثة: مايو

أهلاً بكم في عدد مايو من نشرة Xygeni للبرمجيات الخبيثة. واصل فريق أبحاث الأمن لدينا هذا الشهر تتبع المشهد المتطور لتهديدات سلسلة توريد البرمجيات عبر سجلات الحزم العامة، وأدوات المطورين، وسير العمل المدعوم بالذكاء الاصطناعي، والأنظمة الحديثة. CI/CD البيئات. طوال شهر مايو، حددت شركة Xygeni وتحققت من صحة مئات الحزم الخبيثة التي تستهدف أنظمة npm وPyPI وVS Code وOpenVSX.

لكن شهر مايو لم يقتصر على حجم الهجمات فحسب، بل كان أيضاً شهراً قام فيه المهاجمون بتكييف أساليبهم بشكل متزايد مع بيئات التطوير الأصلية للذكاء الاصطناعي، وافتراضات ثقة المطورين، والأنظمة الآلية. pipelines.

من بين أبرز التحقيقات التي نشرها فريق الأمن في شركة Xygeni هذا الشهر:

• جولز جاكرحملة برمجيات خبيثة متعددة المراحل تستهدف npm، تنتحل شخصية وكيل الذكاء الاصطناعي Jules التابع لشركة جوجل لسرقة المستودعات وإساءة استخدامها. CI/CD البيئات، بل وحتى استهداف بيئة الاختبار المعزولة لتحليلها. وقد أدخلت الحملة أدوات تحميل مشفرة ومقيدة بالمضيف، ومزورة google-labs-jules[bot] commitسرقة البيانات الوصفية السحابية، واستطلاع Kubernetes للبنية التحتية التحليلية نفسها.
• فانتومبوت، حملة npm خبيثة تستغل محفظة مزيفة، وتقنية البلوك تشين، وأدوات Web3 لسرقة بيانات الاعتماد، واختراق بيئات المطورين، واستهداف سير العمل المتعلق بالعملات المشفرة من خلال إساءة استخدام التبعيات وتسليم الحمولة المرحلية.
• نظام بيئي خبيث واسع النطاق لـ npm يستغل أدوات TypeScript المزيفة، والحزم ذات الطابع الذكاء الاصطناعي، وانتحال الأدوات الداخلية، ومكتبات الواجهة الأمامية، ومساعدي السحابة، وأطر البناء لتحديد بصمات البيئات، واستخراج بيانات الاعتماد، ونشر الاستمرارية، واختراق أنظمة المطورين.
• موجات متواصلة من الحزم الخبيثة تستغل التباس التبعيات، وانتحال أسماء النطاقات، وإساءة استخدام ما بعد التثبيت، وانتحال هوية أدوات الذكاء الاصطناعي، وتضخيم الإصدارات، وإساءة استخدام مساحات الأسماء بشكل متكرر، مصممة لتجاوز قواعد ثقة المطورين واختراق الأنظمة الحديثة SDLC سير العمل قبل الكشف.
• اكتشاف حملات البرامج الضارة متعددة المنصات مثل @jaggle/resizeobserves برنامج اختطاف الحافظة، الذي انتحل شخصية حزمة شرعية أثناء نشر خاصية الاستمرارية القائمة على لغة بايثون واستبدال الحافظة بمحفظة العملات المشفرة عبر أنظمة لينكس وماك أو إس وويندوز.

لاحظنا خلال الشهر تقاربًا متزايدًا بين أدوات الذكاء الاصطناعي، وأنظمة المصادر المفتوحة، وهجمات سلسلة توريد البرمجيات. وقد استهدف المهاجمون بشكل متزايد سير عمل التطوير المدعوم بالذكاء الاصطناعي، وبيئات الوكلاء، والمساعدين، والبناء السحابي الأصلي. pipelineكجزء من عمليات سرقة بيانات الاعتماد واختراق المستودعات على نطاق أوسع.

لم تعد هذه الهجمات مجرد حالات معزولة من عمليات انتحال أسماء النطاقات البسيطة. بل تشمل حملات نشر منسقة، وإصدارات آلية متتالية، وسرقة رموز التخزين السحابي. CI/CD إساءة الاستخدام، وتجهيز الحمولة المشفرة، والتهرب من بيئة الاختبار المعزولة، وتقنيات الاختراق المستمر المصممة خصيصًا للاندماج في بيئات المطورين الموثوقة.

يُعد هذا التحديث الشهري جزءًا من مبادرة Xygeni المستمرة لأبحاث البرامج الضارة وتهديدات سلسلة التوريد، حيث يقوم فريقنا باستمرار بالتحقق من صحة الحزم الضارة، والتحقيق في أنماط الهجوم الناشئة، ونشر معلومات استخباراتية قابلة للتنفيذ لمساعدة فرق الأمن، وأمن التطبيقات، وDevSecOps على البقاء في طليعة مخاطر سلسلة التوريد المتطورة.

للحصول على السياق الكامل لكل حزمة خبيثة وحملة برامج ضارة وتحليل للتهديدات تم نشره هذا الشهر، استكشف ملخص مايو الكامل للبرمجيات الخبيثة والأبحاث ذات الصلة من فريق Xygeni Security.