Haittakoodin tiivistelmän kuukausittainen yhteenveto: toukokuu

Tervetuloa Xygeni Malicious Code Digest -lehden toukokuun numeroon. Tässä kuussa tietoturvatutkimustiimimme jatkoi ohjelmistojen toimitusketjun uhkien kehittyvän maiseman seuraamista julkisissa pakettirekistereissä, kehittäjätyökaluissa, tekoälyavusteisissa työnkuluissa ja nykyaikaisissa... CI/CD ympäristöissä. Toukokuun ajan Xygeni tunnisti ja validoi satoja haitallisia paketteja, jotka kohdistivat npm-, PyPI-, VS Code- ja OpenVSX-ekosysteemeihin.

Mutta toukokuussa ei kyse ollut pelkästään volyymista. Se oli myös kuukausi, jolloin hyökkääjät sopeuttivat yhä enemmän kaupankäyntitaitojaan tekoälyn natiiveihin kehitysympäristöihin, kehittäjien luottamusoletuksiin ja automatisoituihin ratkaisuihin. pipelines.

Xygeni Security Teamin tässä kuussa julkaisemien merkittävimpien tutkimusten joukossa:

• JulesJacker, monivaiheinen npm-haittaohjelmakampanja, joka tekeytyy Googlen Jules-tekoälyagentiksi varastaakseen arkistoja ja väärinkäyttääkseen CI/CD ympäristöjä ja jopa kohdistaa sitä analysoivaan hiekkalaatikkoon. Kampanjassa otettiin käyttöön salatut isäntäohjatut latausohjelmat, väärennetyt google-labs-jules[bot] commits, pilvimetatietojen varastamista ja Kubernetes-tiedustelua itse analyysi-infrastruktuuria vastaan.
• PhantomBot, haitallinen npm-kampanja, joka väärinkäyttää väärennettyjä lompakoita, lohkoketjua ja Web3-työkaluja varastaakseen tunnistetietoja, vaarantaakseen kehittäjäympäristöjä ja kohdistaakseen kryptovaluuttoihin liittyviä työnkulkuja riippuvuuksien väärinkäytön ja vaiheittaisen hyötykuormien toimituksen avulla.
• Laajamittainen haitallinen npm-ekosysteemi, joka väärinkäyttää väärennettyjä TypeScript-apuohjelmia, tekoälypaketteja, sisäisiä työkalujen matkimista, käyttöliittymäkirjastoja, pilviavustajia ja rakentajakehyksiä ympäristöjen sormenjälkien tunnistamiseen, tunnistetietojen vuotamiseen, pysyvyyden käyttöönottoon ja kehittäjäjärjestelmien vaarantamiseen.
• Jatkuvat haitallisten pakettien aallot hyödyntävät riippuvuushämmennystä, typosquattingia, asennuksen jälkeistä väärinkäyttöä, tekoälytyökalujen henkilöllisyyden anastamista, versioiden inflaatiota ja toistuvaa nimiavaruuden väärinkäyttöä, joiden tarkoituksena on ohittaa kehittäjien luottamusheuristiikka ja vaarantaa nykyaikaiset sovellukset. SDLC työnkulut ennen havaitsemista.
• Eri alustojen haittaohjelmakampanjoiden, kuten @jaggle/resizeobserves leikepöydän kaappaaja, joka tekeytyi lailliseksi paketiksi ottaessaan käyttöön Python-pohjaista pysyvyyttä ja kryptolompakoiden leikepöydän korvaamista Linux-, macOS- ja Windows-järjestelmissä.

Kuukauden aikana havaitsimme myös kasvavaa lähentymistä tekoälytyökalujen, avoimen lähdekoodin ekosysteemien ja ohjelmistojen toimitusketjuhyökkäysten välillä. Uhkatoimijat kohdistivat hyökkäyksensä yhä useammin tekoälyavusteisiin kehitystyönkulkuihin, agenttiympäristöihin, kopilote-hankkeisiin ja pilvinatiiviin koontiversioihin. pipelineosana laajempia tunnistetietojen varkauksiin ja tietovaraston vaarantumiseen liittyviä operaatioita.

Nämä hyökkäykset eivät ole enää yksittäisiä tapauksia pelkästä typosquattingista. Ne sisältävät koordinoituja julkaisukampanjoita, automatisoituja versiopurkauksia, pilvitunnusten varastamista, CI/CD väärinkäyttö, salatun hyötykuorman valmistelu, hiekkalaatikon väistö ja pysyvät vaarantamistekniikat, jotka on erityisesti suunniteltu sulautumaan luotettaviin kehittäjäekosysteemeihin.

Tämä kuukausittainen päivitys on osa Xygenin jatkuvaa haittaohjelmien ja toimitusketjun uhkien tutkimusaloitetta, jossa tiimimme jatkuvasti validoi haitallisia paketteja, tutkii uusia hyökkäysmalleja ja julkaisee toimintakelpoista tietoa auttaakseen tietoturva-, sovellusturva- ja DevSecOps-tiimejä pysymään kehittyvien toimitusketjuriskien edellä.

Saat täydellisen kontekstin kaikista tässä kuussa julkaistuista haitallisista paketeista, haittaohjelmakampanjoista ja uhka-analyyseistä tutustumalla Xygeni Security Teamin toukokuun haittaohjelmakooditiivistelmään ja siihen liittyvään tutkimukseen.