Pahatahtliku koodi kokkuvõtte igakuine kokkuvõte: mai

Tere tulemast Xygeni pahatahtliku koodi kokkuvõtte maikuu numbrisse. Sel kuul jätkas meie turvauuringute meeskond tarkvara tarneahela ohtude areneva maastiku jälgimist avalikes paketiregistrites, arendustööriistades, tehisintellektiga toetatud töövoogudes ja kaasaegsetes... CI/CD keskkonnad. Terve maikuu jooksul tuvastas ja valideeris Xygeni sadu pahatahtlikke pakette, mis olid suunatud npm, PyPI, VS Code ja OpenVSX ökosüsteemidele.

Kuid mai ei olnud ainult mahtude küsimus. See oli ka kuu, mil ründajad kohandasid oma kaubandust üha enam tehisintellektil põhinevatele arenduskeskkondadele, arendajate usalduse eeldustele ja automatiseeritud... pipelines.

Xygeni turvameeskonna sel kuul avaldatud tähelepanuväärsemate uurimiste hulgas:

• JulesJacker, mitmeastmeline npm-pahavara kampaania, mis teeskleb Google'i Jules AI agenti, et varastada repositooriume, kuritarvitada CI/CD keskkondades ja isegi sihtida liivakasti, mis seda analüüsib. Kampaania tutvustas krüpteeritud host-gated loadereid, võltsitud google-labs-jules[bot] commits, pilve metaandmete vargus ja Kubernetes'i luure analüüsi infrastruktuuri enda vastu.
• PhantomBot, pahatahtlik npm-kampaania, mis kuritarvitab võltsitud rahakotti, plokiahelat ja Web3 tööriistu, et varastada volitusi, rikkuda arendajakeskkondi ja sihtida krüptoga seotud töövooge sõltuvuste kuritarvitamise ja etapiviisilise kasuliku koormuse edastamise kaudu.
• Ulatuslik pahatahtlik npm-ökosüsteem, mis kuritarvitab võltsitud TypeScripti utiliite, tehisintellektil põhinevaid pakette, sisemisi tööriistade jäljendamist, esiotsa teeke, pilve abilisi ja koostajaraamistikke keskkondade sõrmejälgede tuvastamiseks, volituste väljafiltreerimiseks, püsivuse juurutamiseks ja arendajasüsteemide ohtu seadmiseks.
• Jätkuvad pahatahtlike pakettide lained, mis kasutavad ära sõltuvuste segadust, trükivigu, installijärgset kuritarvitamist, tehisintellekti tööriistade jäljendamist, versioonide inflatsiooni ja korduvat nimeruumi kuritarvitamist, mille eesmärk on mööda hiilida arendajate usaldusheuristikast ja rikkuda tänapäevaseid süsteeme. SDLC töövood enne tuvastamist.
• Platvormideüleste pahavarakampaaniate, näiteks @jaggle/resizeobserves lõikelaua kaaperdaja, mis teeskles legitiimset paketti, juurutades Pythoni-põhist püsivust ja krüptorahakottide lõikelaua asendamist Linuxi, macOS-i ja Windowsi süsteemides.

Kuu jooksul täheldasime ka üha suurenevat lähenemist tehisintellekti tööriistade, avatud lähtekoodiga ökosüsteemide ja tarkvara tarneahela rünnakute vahel. Ohutegurid võtsid üha enam sihikule tehisintellekti abil arendatud töövooge, agentide keskkondi, kaasprojekte ja pilvepõhiseid ehitusprojekte. pipelineosana laiematest volituste varguse ja hoidla ohtu seadmise operatsioonidest.

Need rünnakud ei ole enam isoleeritud lihtsad trükivigastamise juhtumid. Need hõlmavad koordineeritud avaldamiskampaaniaid, automatiseeritud versioonipurskeid, pilvetokenite vargust, CI/CD kuritarvitamine, krüpteeritud kasuliku koormuse ettevalmistamine, liivakastist kõrvalehoidumine ja püsivad kompromiteerimistehnikad, mis on spetsiaalselt loodud usaldusväärsete arendajate ökosüsteemidega sulandumiseks.

See igakuine värskendus on osa Xygeni käimasolevast pahavara ja tarneahela ohtude uurimisalgatusest, mille raames meie meeskond valideerib pidevalt pahatahtlikke pakette, uurib tekkivaid rünnakumustreid ja avaldab praktilist teavet, mis aitab turvalisuse, rakenduste turvalisuse ja DevSecOpsi meeskondadel olla kursis arenevate tarneahela riskidega.

Selle kuu jooksul avaldatud kõigi pahatahtlike pakettide, pahavarakampaaniate ja ohuanalüüside täieliku konteksti saamiseks uurige Xygeni turbemeeskonna maikuu täielikku pahatahtliku koodi kokkuvõtet ja sellega seotud uuringut.