Resum mensual de Malicious Code Digest: maig

Benvinguts a l'edició de maig del Xygeni Malicious Code Digest. Aquest mes, el nostre equip de recerca en seguretat ha continuat fent un seguiment del panorama en evolució de les amenaces a la cadena de subministrament de programari en registres de paquets públics, eines per a desenvolupadors, fluxos de treball assistits per IA i sistemes moderns. CI/CD entorns. Durant tot el mes de maig, Xygeni va identificar i validar centenars de paquets maliciosos dirigits a ecosistemes npm, PyPI, VS Code i OpenVSX.

Però el maig no només va ser qüestió de volum. També va ser un mes en què els atacants van adaptar cada cop més les seves habilitats comercials als entorns de desenvolupament natius d'IA, als supòsits de confiança dels desenvolupadors i a l'automatització. pipelines.

Entre les investigacions més destacades publicades per l'equip de seguretat de Xygeni aquest mes:

• JulesJacker, una campanya de programari maliciós npm de diverses etapes que suplanta l'agent d'IA Jules de Google per robar repositoris i abusar-ne CI/CD entorns i fins i tot dirigir-se a la zona de proves analitzant-la. La campanya va introduir carregadors xifrats amb control d'amfitrió, falsificats google-labs-jules[bot] commits, robatori de metadades al núvol i reconeixement de Kubernetes contra la mateixa infraestructura d'anàlisi.
• PhantomBot, una campanya maliciosa de npm que utilitza moneders falsos, blockchain i eines Web3 per robar credencials, comprometre entorns de desenvolupador i atacar fluxos de treball relacionats amb les criptomonedes mitjançant l'abús de dependències i el lliurament de càrrega útil per etapes.
• Un ecosistema npm maliciós a gran escala que abusa d'utilitats TypeScript falses, paquets amb temàtica d'IA, suplantació d'eines internes, biblioteques frontend, ajudants al núvol i marcs de construcció per a entorns d'empremta digital, exfiltrar credencials, implementar persistència i comprometre sistemes de desenvolupador.
• Onades contínues de paquets maliciosos que aprofiten la confusió de dependències, l'ocupació typosquatting, l'abús postinstal·lació, la suplantació d'eines d'IA, la inflació de versions i l'abús repetit de l'espai de noms dissenyats per eludir l'heurística de confiança dels desenvolupadors i comprometre els sistemes moderns. SDLC fluxos de treball abans de la detecció.
• El descobriment de campanyes de programari maliciós multiplataforma com ara @jaggle/resizeobserves segrestador de porta-retalls, que suplantava un paquet legítim mentre implementava la persistència basada en Python i la substitució de porta-retalls de criptomonedes en sistemes Linux, macOS i Windows.

Al llarg del mes, també vam observar una creixent convergència entre les eines d'IA, els ecosistemes de codi obert i els atacs a la cadena de subministrament de programari. Els actors amenaçadors van atacar cada cop més els fluxos de treball de desenvolupament assistit per IA, els entorns d'agents, els copilots i la compilació nativa del núvol. pipelines com a part d'operacions més àmplies de robatori de credencials i comprometre repositoris.

Aquests atacs ja no són casos aïllats de simple typosquatting. Impliquen campanyes de publicació coordinades, ràfegues de versions automatitzades, robatori de tokens al núvol, CI/CD abús, estadificació de càrrega útil xifrada, evasió de sandbox i tècniques de compromís persistent dissenyades específicament per integrar-se en ecosistemes de desenvolupadors de confiança.

Aquesta actualització mensual forma part de la iniciativa de recerca contínua de Xygeni sobre programari maliciós i amenaces de la cadena de subministrament, on el nostre equip valida contínuament paquets maliciosos, investiga patrons d'atac emergents i publica intel·ligència accionable per ajudar els equips de seguretat, AppSec i DevSecOps a mantenir-se per davant de l'evolució del risc de la cadena de subministrament.

Per obtenir el context complet de cada paquet maliciós, campanya de programari maliciós i anàlisi d'amenaces publicades aquest mes, exploreu el resum complet de codi maliciós del maig i la recerca relacionada de l'equip de seguretat de Xygeni.