Дайджэст шкоднаснага кода Xygeni 73

Амаль кожны тыдзень, нашы сістэмы выяўлення шкоднасных праграм скануюць тысячы новых і абноўленых пакетаў у публічных рэестрах, такіх як npm і PyPI. Гэты тыдзень быў вельмі актыўным.

Мы пацвердзілі 198 шкоднасных пакетаў, у асноўным у npm, а таксама ў пашырэннях PyPI, OpenVSX, Composer і VS Code. Некалькі выпадкаў з'яўляліся ў скаардынаваных кластарах, прычым шкоднасныя рэлізы публікаваліся пад аднымі і тымі ж назвамі або ў цесна звязаных сямействах пакетаў. Яскравым выпадкам быў sensivity пакет, які запоўніў npm больш чым 60 версіямі рэлізаў у дыяпазоне 2.5.x. Сярод іншых прыкметных кластараў былі ai-sdk-helpers (8 версій, арыентаваных на распрацоўшчыкаў штучнага інтэлекту), @antoncallahan/aws-user-helper (7 версій, якія выдаюць сябе за ўтыліту AWS), @apple-pay-trust і @google-pay-trust сем'і (імітуючы модулі аплаты замовы), @frengki0707/google-cloud-clone (5 версій, якія падманваюць Google Cloud), і cms-storehub, cms-helpgit, і cms-github (арыентацыя на CMS pipelines). Шмат якія пакеты імітавалі модулі аплаты і афармлення замовы, enterprise і ўнутраныя вэб-пакеты, кліенты аналітыкі, асновы карыстальніцкага інтэрфейсу, утыліты для распрацоўшчыкаў, аглядальнікі кампанентаў, пакеты ў воблаку і стылі Google, а таксама іншыя модулі, якім звычайна давяраюць у сучасных працоўных працэсах распрацоўкі.

Гэта не былі асобныя анамаліі. На гэтым тыдні кідаліся ў вочы маштабы паўторных публікацый у адных і тых жа сямействах пакетаў, паўторнае выкарыстанне шаблонаў наймення і тое, як шкоднасныя пакеты маскіраваліся пад легітымныя залежнасці ўнутры рэальнай пастаўкі праграмнага забеспячэння. pipelines.

Гэты штотыднёвы агляд з'яўляецца часткай нашага пастаяннага агляду шкоднаснага кода, дзе мы правяраем новыя пагрозы і даем практычную інфармацыю, каб дапамагчы камандам DevSecOps абараніць сваіх pipelineда таго, як узнікне пашкоджанне.

Давайце разгледзім, што мы знайшлі на гэтым тыдні і чаму гэта важна.