Xygeni pahatahtliku koodi kokkuvõte 73

Peaaegu iga nädal, skannivad meie pahavara tuvastussüsteemid tuhandeid uusi ja uuendatud pakette avalikes registrites, näiteks npm ja PyPI. See nädal oli väga aktiivne.

Me kinnitasime 198 pahatahtlikku paketti, peamiselt npm-i ulatuses, lisaks PyPI, OpenVSX, Composer ja VS Code laiendustes. Mitmed neist esinesid koordineeritud klastrites, kusjuures korduvaid pahatahtlikke väljaandeid avaldati samade nimede all või tihedalt seotud paketiperekondades. Silmapaistev juhtum oli sensivity pakett, mis ujutas npm-i üle enam kui 60 versioonitud väljalaskega 2.5.x vahemikus. Teiste märkimisväärsete klastrite hulka kuulusid ai-sdk-helpers (8 versiooni, mis on suunatud tehisintellekti arendajatele) @antoncallahan/aws-user-helper (7 versiooni, mis imiteerivad AWS-i utiliiti), @apple-pay-trust ja @google-pay-trust perekonnad (maksekorraldusmoodulite jäljendamine), @frengki0707/google-cloud-clone (5 versiooni, mis võltsivad Google Cloudi) ja cms-storehub, cms-helpgitja cms-github (sihitud sisuhaldussüsteemidele) pipelines). Paljud paketid matkisid makse- ja kassamooduleid, enterprise ja sisemised veebipaketid, analüütikakliendid, kasutajaliidese alused, arendusutiliidid, komponentide uurijad, pilve- ja Google'i-teemalised paketid ning muud moodulid, mida tänapäevastes arendusvoogudes tavaliselt usaldatakse.

Need ei olnud isoleeritud anomaaliad. Sel nädalal torkas silma korduva avaldamise ulatus samades paketiperedes, nimetamismustrite taaskasutamine ja viis, kuidas pahatahtlikke pakette maskeeriti nii, et need näeksid välja nagu legitiimsed sõltuvused päris tarkvarapaketi sees. pipelines.

See iganädalane ülevaade on osa meie käimasolevast pahatahtliku koodi ülevaatest, kus valideerime uusi ohte ja pakume tegutsemiskõlblikku teavet, et aidata DevSecOpsi meeskondadel oma ressursse kaitsta. pipelines enne kahju tekkimist.

Vaatleme lähemalt, mida me sel nädalal leidsime ja miks see on oluline.