Штомесячны агляд дайджэста шкоднаснага кода: май

Вітаем у майскім выпуску дайджэста шкоднаснага кода Xygeni. У гэтым месяцы наша каманда даследнікаў бяспекі працягвала адсочваць змяненне ландшафту пагроз ланцужку паставак праграмнага забеспячэння ў публічных рэестрах пакетаў, інструментах распрацоўшчыкаў, працоўных працэсах з падтрымкай штучнага інтэлекту і сучасных... CI/CD асяроддзяў. На працягу мая Xygeni выявіла і праверыла сотні шкоднасных пакетаў, накіраваных на экасістэмы npm, PyPI, VS Code і OpenVSX.

Але май быў не толькі пра аб'ёмы. Гэта быў таксама месяц, калі зламыснікі ўсё больш адаптавалі свае тэхнічныя навыкі да асяроддзяў распрацоўкі, арыентаваных на штучны інтэлект, здагадак аб даверы распрацоўшчыкаў і аўтаматызаваных pipelines.

Сярод найбольш прыкметных расследаванняў, апублікаваных камандай бяспекі Xygeni ў гэтым месяцы:

• Джулс Джэкершматэтапная кампанія шкоднаснага праграмнага забеспячэння npm, якая выдае сябе за агента штучнага інтэлекту Jules ад Google для крадзяжу рэпазіторыяў, злоўжыванняў CI/CD асяроддзяў і нават нацэльваюцца на пясочніцу, аналізуючы яе. Кампанія ўвяла зашыфраваныя загрузнікі, абароненыя ад хаста, падробленыя google-labs-jules[bot] commits, крадзеж метададзеных з воблака і разведка Kubernetes супраць самой аналітычнай інфраструктуры.
• PhantomBot, шкоднасная npm-кампанія, якая злоўжывае фальшывымі кашалькамі, блокчэйнам і інструментамі Web3 для крадзяжу ўліковых дадзеных, кампраметацыі асяроддзяў распрацоўшчыкаў і нацэльвання на працоўныя працэсы, звязаныя з крыптавалютамі, праз злоўжыванне залежнасцямі і паэтапную дастаўку карыснай нагрузкі.
• Маштабная шкоднасная экасістэма npm, якая злоўжывае падробленымі ўтылітамі TypeScript, пакетамі на тэму штучнага інтэлекту, унутранай імітацыяй інструментаў, бібліятэкамі фронтэнда, хмарнымі памочнікамі і фрэймворкамі для стварэння асяроддзяў адбіткаў пальцаў, крадзяжу ўліковых дадзеных, разгортвання пастаянных дадзеных і ўзлому сістэм распрацоўшчыкаў.
• Працяглыя хвалі шкоднасных пакетаў, якія выкарыстоўваюць блытаніну залежнасцей, памылковыя выпадкі друку, злоўжыванне пасля ўстаноўкі, імітацыю інструментаў штучнага інтэлекту, інфляцыю версій і паўторнае злоўжыванне прасторай імёнаў, прызначаныя для абыходу эўрыстыкі даверу распрацоўшчыкаў і кампраметацыі сучасных SDLC працоўныя працэсы да выяўлення.
• Выяўленне міжплатформенных кампаній шкоднасных праграм, такіх як @jaggle/resizeobserves захопнік буфера абмену, які выдаў сябе за легітымны пакет, разгортваючы на ​​аснове Python захаванне дадзеных і падмену буфера абмену крыпта-кашалькамі ў сістэмах Linux, macOS і Windows.

На працягу месяца мы таксама назіралі ўсё большую канвергенцыю паміж інструментамі штучнага інтэлекту, экасістэмамі з адкрытым зыходным кодам і атакамі на ланцужкі паставак праграмнага забеспячэння. Злачынцы ўсё часцей атакавалі працоўныя працэсы распрацоўкі з дапамогай штучнага інтэлекту, асяроддзі агентаў, сумесных пілотаў і воблачную зборку. pipelineяк частка больш шырокіх аперацый па крадзяжы ўліковых дадзеных і ўзломе рэпазітараў.

Гэтыя атакі больш не з'яўляюцца адзінкавымі выпадкамі простай памылкі ў напісанні тэксту. Яны ўключаюць скаардынаваныя публікацыйныя кампаніі, аўтаматызаваныя выпускі версій, крадзеж воблачных токенаў, CI/CD злоўжыванні, зашыфраваная падрыхтоўка карыснай нагрузкі, абыход пясочніцы і метады пастаяннай кампраметацыі, спецыяльна распрацаваныя для інтэграцыі ў надзейныя экасістэмы распрацоўшчыкаў.

Гэта штомесячнае абнаўленне з'яўляецца часткай бягучай ініцыятывы Xygeni па даследаванні шкоднасных праграм і пагроз у ланцужку паставак, у межах якой наша каманда пастаянна правярае шкоднасныя пакеты, даследуе новыя мадэлі атак і публікуе практычную аналітыку, каб дапамагчы камандам бяспекі, AppSec і DevSecOps апярэджваць змены ў рызыках ланцужка паставак.

Каб атрымаць поўную інфармацыю пра кожны шкоднасны пакет, кампанію шкоднасных праграм і аналіз пагроз, апублікаваныя ў гэтым месяцы, азнаёмцеся з поўным майскім дайджэстам шкоднаснага кода і адпаведнымі даследаваннямі ад каманды бяспекі Xygeni.