জাইজেনি ম্যালিসিয়াস কোড ডাইজেস্ট ৬২

প্রায় প্রতি সপ্তাহেআমাদের ম্যালওয়্যার শনাক্তকরণ সিস্টেমগুলো npm এবং PyPI-এর মতো পাবলিক রেজিস্ট্রি জুড়ে হাজার হাজার নতুন এবং আপডেট করা প্যাকেজ স্ক্যান করে। এই সপ্তাহটি খুব সক্রিয় ছিল।

আমরা নিশ্চিত করেছি ১৩৫টি ক্ষতিকারক প্যাকেজমূলত npm জুড়ে, এবং এর পাশাপাশি PyPI, OpenVSX, Composer, ও VS Code এক্সটেনশনগুলোতেও এর ঘটনা ঘটেছে। এর মধ্যে বেশ কয়েকটি সমন্বিত গুচ্ছাকারে দেখা গেছে, যেখানে একই নামে বা ঘনিষ্ঠভাবে সম্পর্কিত প্যাকেজ পরিবারগুলোর মধ্যে বারবার ক্ষতিকারক সংস্করণ প্রকাশ করা হয়েছে। একটি উল্লেখযোগ্য ঘটনা ছিল... sensivity প্যাকেজটি, যা 2.5.x রেঞ্জ জুড়ে ৬০টিরও বেশি ভার্সনযুক্ত রিলিজ দিয়ে npm-কে প্লাবিত করেছিল। অন্যান্য উল্লেখযোগ্য ক্লাস্টারগুলির মধ্যে অন্তর্ভুক্ত ছিল ai-sdk-helpers (এআই ডেভেলপারদের লক্ষ্য করে ৮টি সংস্করণ), @antoncallahan/aws-user-helper (৭টি সংস্করণ একটি AWS ইউটিলিটির ছদ্মবেশ ধারণ করছে), @apple-pay-trust এবং @google-pay-trust পরিবারসমূহ (পেমেন্ট চেকআউট মডিউল অনুকরণ করে), @frengki0707/google-cloud-clone (গুগল ক্লাউডকে নকল করা ৫টি সংস্করণ), এবং cms-storehub, cms-helpgit, এবং cms-github (সিএমএসকে লক্ষ্য করে) pipelineঅনেক প্যাকেজ পেমেন্ট এবং চেকআউট মডিউলগুলোর অনুকরণ করেছিল, enterprise এবং অভ্যন্তরীণ ওয়েব প্যাকেজ, অ্যানালিটিক্স ক্লায়েন্ট, ইউআই ফাউন্ডেশন, ডেভেলপার ইউটিলিটি, কম্পোনেন্ট এক্সপ্লোরার, ক্লাউড- ও গুগল-থিমযুক্ত প্যাকেজ, এবং অন্যান্য মডিউল যা আধুনিক ডেভেলপমেন্ট ওয়ার্কফ্লোতে সাধারণত বিশ্বস্ত বলে বিবেচিত হয়।

এগুলো বিচ্ছিন্ন কোনো ব্যতিক্রম ছিল না। এই সপ্তাহে যা বিশেষভাবে চোখে পড়েছে তা হলো, একই প্যাকেজ ফ্যামিলি জুড়ে বারবার প্রকাশনার ব্যাপকতা, নামকরণের ধরনের পুনরাবৃত্তি, এবং আসল সফটওয়্যার ডেলিভারির ভেতরে ক্ষতিকারক প্যাকেজগুলোকে বৈধ ডিপেন্ডেন্সির মতো দেখানোর জন্য ছদ্মবেশ ধারণ করানোর পদ্ধতি। pipelines.

এই সাপ্তাহিক সংক্ষিপ্ত বিবরণটি আমাদের চলমান 'ম্যালিসিয়াস কোড ডাইজেস্ট'-এর একটি অংশ, যেখানে আমরা নতুন হুমকিগুলো যাচাই করি এবং ডেভসেকওপিএস দলগুলোকে তাদের সুরক্ষায় সাহায্য করার জন্য কার্যকরী তথ্য সরবরাহ করি। pipelineক্ষতি ঘটার আগে।

চলুন, এই সপ্তাহে আমরা যা খুঁজে পেয়েছি তা বিশদভাবে আলোচনা করা যাক এবং কেন এটি গুরুত্বপূর্ণ।