Xygeni Malica Koda Komisiono 73

Preskaŭ ĉiusemajne, niaj sistemoj por detekti malicajn programojn skanas milojn da novaj kaj ĝisdatigitaj pakaĵoj tra publikaj registroj kiel npm kaj PyPI. Ĉi tiu semajno estis tre aktiva.

Ni konfirmis 198 malicaj pakaĵoj, ĉefe tra npm, kun pliaj kazoj en PyPI, OpenVSX, Composer, kaj VS Code-etendaĵoj. Pluraj aperis en kunordigitaj aretoj, kun ripetaj malicaj eldonoj publikigitaj sub la samaj nomoj aŭ tra proksime rilataj pakaĵfamilioj. Elstara kazo estis la sensivity pakaĵo, kiu inundis npm per pli ol 60 versiigitaj eldonoj tra la 2.5.x-intervalo. Aliaj rimarkindaj aretoj inkluzivis ai-sdk-helpers (8 versioj celantaj AI-programistojn), @antoncallahan/aws-user-helper (7 versioj ŝajnigantaj AWS-servaĵon), @apple-pay-trust kaj @google-pay-trust familioj (imitante pagajn kasmodulojn), @frengki0707/google-cloud-clone (5 versioj parodiantaj Google Cloud), kaj cms-storehub, cms-helpgitKaj cms-github (celante CMS-on pipelines). Multaj pakaĵoj imitis pagajn kaj kasajn modulojn, enterprise kaj internaj TTT-pakaĵoj, analizaj klientoj, UI-fondusoj, programistaj iloj, komponentaj esploriloj, nub- kaj Guglo-temaj pakaĵoj, kaj aliaj moduloj ofte fidindaj en modernaj evoluigaj laborfluoj.

Tiuj ne estis izolitaj anomalioj. Kio elstaris ĉi-semajne estis la amplekso de ripeta publikigado tra la samaj pakaĵfamilioj, la reuzo de nomŝablonoj, kaj la maniero kiel malicaj pakaĵoj estis kaŝvestitaj por aspekti kiel legitimaj dependecoj ene de reala programara liverado. pipelines.

Ĉi tiu semajna momentfoto estas parto de nia daŭranta Malicious Code Digest (Komisiono pri Malica Kodo), kie ni validigas novajn minacojn kaj provizas ageblajn informojn por helpi DevSecOps-teamojn protekti siajn pipelines antaŭ ol difekto okazas.

Ni analizu tion, kion ni trovis ĉi-semajne kaj kial ĝi gravas.