Xygeni Zərərli Kod Digest 73

Demək olar ki, hər həftə, zərərli proqram aşkarlama sistemlərimiz npm və PyPI kimi ictimai reyestrlərdə minlərlə yeni və yenilənmiş paketi skan edir. Bu həftə çox aktiv keçdi.

Biz təsdiq etdik 198 zərərli paket, əsasən npm üzərində, əlavə hallar PyPI, OpenVSX, Composer və VS Code genişləndirmələrində mövcuddur. Bir neçəsi koordinasiyalı klasterlərdə meydana çıxdı, təkrarlanan zərərli buraxılışlar eyni adlar altında və ya yaxından əlaqəli paket ailələri arasında dərc edildi. Ən diqqətəlayiq hallardan biri də bu idi sensivity paket, 2.5.x diapazonunda 60-dan çox versiyalı buraxılışla npm-i doldurdu. Digər diqqətəlayiq klasterlər də daxil idi ai-sdk-helpers (Süni intellekt inkişaf etdiricilərini hədəf alan 8 versiya), @antoncallahan/aws-user-helper (AWS yardım proqramını təqlid edən 7 versiya), @apple-pay-trust və @google-pay-trust ailələr (ödəniş kassa modullarını təqlid edir), @frengki0707/google-cloud-clone (Google Cloud-u saxtalaşdıran 5 versiya) və cms-storehub, cms-helpgitvə cms-github (CMS-i hədəfləmək pipelines). Bir çox paket ödəniş və kassa modullarını təqlid edirdi, enterprise və daxili veb paketlər, analitik müştərilər, UI təməlləri, geliştirici yardımçı proqramları, komponent tədqiqatçıları, bulud və Google temalı paketlər və müasir inkişaf iş axınlarında ümumiyyətlə etibar edilən digər modullar.

Bunlar təcrid olunmuş anomaliyalar deyildi. Bu həftə diqqət çəkən məqam eyni paket ailələri arasında təkrar nəşrlərin miqyası, adlandırma nümunələrinin təkrar istifadəsi və zərərli paketlərin real proqram təminatı daxilində qanuni asılılıqlar kimi görünməsi idi. pipelines.

Bu həftəlik anlıq görüntü, yeni təhdidləri təsdiqlədiyimiz və DevSecOps komandalarına özlərini qorumağa kömək etmək üçün praktik kəşfiyyat məlumatları təqdim etdiyimiz davam edən Zərərli Kod Xülasəmizin bir hissəsidir. pipelinezərər baş verməzdən əvvəl.

Gəlin bu həftə nələri aşkarladığımızı və bunun nə üçün vacib olduğunu təhlil edək.