Месечно обобщение на дайджеста на зловреден код: май

Добре дошли в майското издание на Xygeni Malicious Code Digest. Този месец нашият екип за изследвания в областта на сигурността продължи да следи развиващия се пейзаж на заплахите за веригата за доставки на софтуер в публични регистри на пакети, инструменти за разработчици, работни процеси, подпомагани от изкуствен интелект, и съвременни... CI/CD среди. През целия май Xygeni идентифицира и валидира стотици злонамерени пакети, насочени към екосистемите npm, PyPI, VS Code и OpenVSX.

Но май не беше само месец на обема. Това беше и месец, в който атакуващите все повече адаптираха своите търговски умения към среди за разработка, базирани на изкуствен интелект, допускания за доверие от страна на разработчиците и автоматизирани... pipelines.

Сред най-забележителните разследвания, публикувани от екипа по сигурността на Xygeni този месец:

• Джулс Джакър, многоетапна кампания за злонамерен софтуер със npm, представяща се за агента на Google с изкуствен интелект Jules, за да краде хранилища, злоупотреба CI/CD среди и дори да се насочат към пясъчната кутия, анализирайки я. Кампанията въведе криптирани зареждащи програми, фалшифицирани google-labs-jules[bot] commits, кражба на метаданни в облака и разузнаване на Kubernetes срещу самата аналитична инфраструктура.
• PhantomBot, злонамерена npm кампания, злоупотребяваща с фалшиви портфейли, блокчейн и Web3 инструменти, за да краде идентификационни данни, да компрометира среди за разработчици и да насочва работни процеси, свързани с криптовалути, чрез злоупотреба със зависимости и поетапно доставяне на полезен товар.
• Мащабна злонамерена npm екосистема, злоупотребяваща с фалшиви TypeScript помощни програми, пакети с AI тематика, имитация на вътрешни инструменти, библиотеки за интерфейс, облачни помощни програми и рамки за изграждане на среди за пръстови отпечатъци, кражба на идентификационни данни, внедряване на постоянство и компрометиране на системи за разработчици.
• Продължаващи вълни от злонамерени пакети, използващи объркване на зависимости, правописни грешки, злоупотреба след инсталиране, имитация на инструменти с изкуствен интелект, инфлация на версии и многократна злоупотреба с пространства от имена, предназначени да заобиколят евристиките на доверието на разработчиците и да компрометират съвременните... SDLC работни процеси преди откриване.
• Откриването на междуплатформени кампании за зловреден софтуер, като например @jaggle/resizeobserves „хийджекър“ на клипборда, който се е представял за легитимен пакет, докато е внедрявал базирана на Python система за постоянство и заместване на клипборда с крипто-портфейл в Linux, macOS и Windows системи.

През целия месец наблюдавахме и нарастващо сближаване между инструментите, свързани с изкуствен интелект, екосистемите с отворен код и атаките срещу веригата за доставки на софтуер. Злонамерените лица все повече се насочваха към работни процеси за разработка, подпомагани от изкуствен интелект, агентски среди, помощници и изграждане в облак. pipelineкато част от по-широки операции за кражба на идентификационни данни и компрометиране на хранилища.

Тези атаки вече не са изолирани случаи на просто типосквотинг. Те включват координирани кампании за публикуване, автоматизирани пускания на версии, кражба на облачни токени, CI/CD злоупотреба, криптирано съхранение на полезен товар, избягване на пясъчник и техники за постоянно компрометиране, специално разработени да се слеят с надеждни екосистеми за разработчици.

Тази месечна актуализация е част от текущата инициатива на Xygeni за изследване на злонамерен софтуер и заплахи за веригата за доставки, където нашият екип непрекъснато валидира злонамерени пакети, разследва нововъзникващи модели на атаки и публикува практическа информация, за да помогне на екипите по сигурност, AppSec и DevSecOps да бъдат в крак с променящия се риск за веригата за доставки.

За пълен контекст на всеки злонамерен пакет, кампания със злонамерен софтуер и анализ на заплахите, публикувани този месец, разгледайте пълния майски дайджест на зловреден код и свързаните с него изследвания от екипа по сигурността на Xygeni.