Monatliche Zusammenfassung des Malicious Code Digest: Mai

Willkommen zur Mai-Ausgabe des Xygeni Malicious Code Digest. Auch in diesem Monat verfolgte unser Sicherheitsforschungsteam die sich ständig weiterentwickelnde Bedrohungslandschaft entlang der Software-Lieferkette – von öffentlichen Paketdatenbanken über Entwicklerwerkzeuge bis hin zu KI-gestützten Arbeitsabläufen und modernen Technologien. CI/CD Im Laufe des Mai identifizierte und validierte Xygeni Hunderte von schädlichen Paketen, die auf die Ökosysteme von npm, PyPI, VS Code und OpenVSX abzielten.

Doch im Mai ging es nicht nur um das Ausmaß. Es war auch ein Monat, in dem Angreifer ihre Methoden zunehmend an KI-basierte Entwicklungsumgebungen, das Vertrauen der Entwickler und automatisierte Prozesse anpassten. pipelines.

Zu den bemerkenswertesten Untersuchungen, die das Xygeni-Sicherheitsteam diesen Monat veröffentlicht hat, gehören:

• JulesJacker, eine mehrstufige npm-Malware-Kampagne, die Googles KI-Agenten Jules imitiert, um Repositories zu stehlen und zu missbrauchen CI/CD Umgebungen und sogar die Sandbox-Analyse selbst wurden ins Visier genommen. Die Kampagne führte verschlüsselte, hostbasierte Loader ein, die gefälscht wurden. google-labs-jules[bot] commits, Cloud-Metadatendiebstahl und Kubernetes-Aufklärung gegen die Analyseinfrastruktur selbst.
• PhantomBot, eine bösartige npm-Kampagne, die gefälschte Wallets, Blockchain- und Web3-Tools missbraucht, um Anmeldeinformationen zu stehlen, Entwicklerumgebungen zu kompromittieren und kryptobezogene Arbeitsabläufe durch Abhängigkeitsmissbrauch und gestaffelte Payload-Auslieferung anzugreifen.
• Ein groß angelegtes, bösartiges npm-Ökosystem, das gefälschte TypeScript-Hilfsprogramme, KI-bezogene Pakete, die Nachahmung interner Tools, Frontend-Bibliotheken, Cloud-Helfer und Builder-Frameworks missbraucht, um Umgebungen zu identifizieren, Anmeldeinformationen zu exfiltrieren, Persistenz bereitzustellen und Entwicklersysteme zu kompromittieren.
• Anhaltende Wellen schädlicher Pakete, die Abhängigkeitsverwirrung, Typosquatting, Postinstall-Missbrauch, KI-Tool-Imitation, Versionsinflation und wiederholten Namespace-Missbrauch ausnutzen, um die Vertrauensheuristiken von Entwicklern zu umgehen und moderne Systeme zu kompromittieren. SDLC Arbeitsabläufe vor der Erkennung.
• Die Entdeckung plattformübergreifender Malware-Kampagnen wie beispielsweise @jaggle/resizeobserves Zwischenablage-Hijacker, der sich als legitimes Paket ausgab und dabei auf Python basierende Persistenz und Krypto-Wallet-Zwischenablage-Substitution auf Linux-, macOS- und Windows-Systemen einsetzte.

Im Laufe des Monats beobachteten wir zudem eine zunehmende Konvergenz zwischen KI-Tools, Open-Source-Ökosystemen und Angriffen auf die Software-Lieferkette. Bedrohungsakteure zielten verstärkt auf KI-gestützte Entwicklungs-Workflows, Agentenumgebungen, Copiloten und Cloud-native Build-Systeme ab. pipelineals Teil umfassenderer Operationen zum Diebstahl von Zugangsdaten und zur Kompromittierung von Datenspeichern.

Diese Angriffe sind keine isolierten Fälle von einfachem Typosquatting mehr. Sie umfassen koordinierte Veröffentlichungskampagnen, automatisierte Versionsveröffentlichungen, Diebstahl von Cloud-Token, CI/CD Missbrauch, verschlüsselte Nutzdatenbereitstellung, Sandbox-Umgehung und Techniken zur dauerhaften Kompromittierung, die speziell darauf ausgelegt sind, sich in vertrauenswürdige Entwickler-Ökosysteme einzufügen.

Dieses monatliche Update ist Teil der laufenden Malware- und Lieferkettenbedrohungsforschungsinitiative von Xygeni, in deren Rahmen unser Team kontinuierlich schädliche Pakete validiert, neu auftretende Angriffsmuster untersucht und umsetzbare Erkenntnisse veröffentlicht, um Sicherheits-, AppSec- und DevSecOps-Teams dabei zu helfen, den sich ständig weiterentwickelnden Lieferkettenrisiken einen Schritt voraus zu sein.

Um den vollständigen Kontext aller in diesem Monat veröffentlichten Schadsoftwarepakete, Malware-Kampagnen und Bedrohungsanalysen zu verstehen, konsultieren Sie den kompletten Malicious Code Digest vom Mai und die zugehörigen Forschungsergebnisse des Xygeni Security Teams.