Månedlig opsummering af ondsindet kode: Maj

Velkommen til maj-udgaven af ​​Xygeni Malicious Code Digest. Denne måned fortsatte vores sikkerhedsforskningsteam med at spore det udviklende landskab af trusler mod softwareforsyningskæden på tværs af offentlige pakkeregistre, udviklerværktøjer, AI-assisterede arbejdsgange og moderne ... CI/CD I løbet af maj identificerede og validerede Xygeni hundredvis af ondsindede pakker, der var rettet mod npm-, PyPI-, VS Code- og OpenVSX-økosystemer.

Men maj handlede ikke kun om volumen. Det var også en måned, hvor angribere i stigende grad tilpassede deres håndværk til AI-native udviklingsmiljøer, udviklernes tillidsantagelser og automatiserede pipelines.

Blandt de mest bemærkelsesværdige undersøgelser offentliggjort af Xygeni Security Team denne måned:

• JulesJacker, en flertrins npm-malwarekampagne, der udgiver sig for at være Googles Jules AI-agent for at stjæle lagre og misbruge CI/CD miljøer, og endda målrette sandkassen, der analyserer den. Kampagnen introducerede krypterede værtsbaserede indlæsere, forfalskede google-labs-jules[bot] commits, tyveri af cloud-metadata og Kubernetes-rekognoscering mod selve analyseinfrastrukturen.
• PhantomBot, en ondsindet npm-kampagne, der misbruger falske tegnebøger, blockchain- og Web3-værktøjer til at stjæle legitimationsoplysninger, kompromittere udviklermiljøer og målrette kryptorelaterede arbejdsgange gennem afhængighedsmisbrug og trinvis levering af nyttelast.
• Et storstilet ondsindet npm-økosystem, der misbruger falske TypeScript-værktøjer, AI-temapakker, intern værktøjsefterligning, frontend-biblioteker, cloud-hjælpere og builder-frameworks til at fingeraftryksmiljøer, eksfiltrere legitimationsoplysninger, implementere persistens og kompromittere udviklersystemer.
• Fortsatte bølger af ondsindede pakker, der udnytter afhængighedsforvirring, typosquatting, misbrug efter installation, efterligning af AI-værktøjer, versionsinflation og gentagen misbrug af navneområder, der er designet til at omgå udviklernes tillidsheuristikker og kompromittere moderne SDLC arbejdsgange før detektion.
• Opdagelsen af ​​malwarekampagner på tværs af platforme, såsom @jaggle/resizeobserves udklipsholder-kaprer, som efterlignede en legitim pakke under implementering af Python-baseret persistens og krypto-wallet-udklipsholdersubstitution på tværs af Linux-, macOS- og Windows-systemer.

I løbet af måneden observerede vi også en voksende konvergens mellem AI-værktøjer, open source-økosystemer og angreb på softwareforsyningskæden. Trusselaktører målrettede i stigende grad AI-assisterede udviklingsworkflows, agentmiljøer, copiloter og cloud-native build. pipelinesom en del af bredere operationer mod tyveri af legitimationsoplysninger og kompromittering af datalager.

Disse angreb er ikke længere isolerede tilfælde af simpel typosquatting. De involverer koordinerede udgivelseskampagner, automatiserede versionsudbrud, cloud-token-tyveri, CI/CD misbrug, krypteret nyttelaststaging, sandbox-undgåelse og vedvarende kompromisteknikker, der er specifikt designet til at integreres i betroede udviklerosystemer.

Denne månedlige opdatering er en del af Xygenis løbende forskningsinitiativ inden for malware og trusler i forsyningskæden, hvor vores team løbende validerer ondsindede pakker, undersøger nye angrebsmønstre og offentliggør brugbar information for at hjælpe sikkerheds-, AppSec- og DevSecOps-teams med at holde sig på forkant med de udviklende risici i forsyningskæden.

For at få fuld kontekst på tværs af alle ondsindede pakker, malwarekampagner og trusselsanalyser, der er udgivet denne måned, kan du udforske den komplette Malicious Code Digest for maj og relateret forskning fra Xygeni Security Team.