Récapitulatif mensuel de Malicious Code Digest : août

Bienvenue dans l'édition d'août du Xygeni Malicious Code Digest. Ce mois-ci, notre équipe de recherche en sécurité a confirmé la présence de 407 paquets malveillants sur npm, PyPI et OpenVSX (la plateforme d'extensions VS Code), recensés sur quatre semaines.

Le mois d'août a été marqué par trois tendances convergentes : une campagne d'usurpation d'identité persistante ciblant une bibliothèque open source populaire, qui a résisté à de multiples tentatives de retrait ; des regroupements coordonnés de « même version, même jour » concernant des dizaines de noms de paquets supposément sans lien, la signature d'opérateurs uniques menant plusieurs opérations simultanément ; et une tendance à reproduire des noms réels et fiables, des protocoles DeFi, des outils open source de Google, etc. enterprise Des packages internes, plutôt que des noms génériques inutiles.

Parmi les campagnes les plus remarquables recensées ce mois-ci :

• Baileys, une bibliothèque API Web WhatsApp open-source populaire, a été usurpée de manière continue pendant trois semaines distinctes sous quatre alias différents (@mrlegendbot/baileys, cloud-baileys, @vanzxy/baileys, ourin-baileys), avec cloud-baileys à lui seul, il a été republié au moins cinq fois entre la mi-août et la fin août.
• QuietPolyfill La campagne originale de distribution de 20 paquets npm a refait surface sous ses propres noms, beaver-ui-drawer, accounts-timeline, accounts-final-form, bcore-bravo-eslint-configet d'autres, confirmés du 1er au 3 août.
• A Plus de 25 paquets ont été ajoutés à OpenVSX en une seule journée. (2 août), se faisant passer pour de véritables extensions de développeur sur ESLint, Rails, WordPress et des dizaines d'autres outils.
• A Cluster DeFi de 17 paquets (11 août) ont usurpé l'identité de Camelot, Aerodrome Finance, permit2 et des bibliothèques de contrats d'OpenZeppelin, toutes publiées dans des paires de versions correspondantes en quelques heures.
• Un groupe frappant (13 août) typosquattage de véritables outils open source de Google: gaarf, magika-js, bazelisk, et une série de *-webdriver-cli colis, 20 colis utilisant de véritables noms d'outils en une seule journée.
• A Un cluster de 21 paquets a usurpé l'identité d'Alelo., une société brésilienne de paiements (14 août), la forme d'une tentative ciblée de confusion des dépendances contre l'espace de noms interne d'une organisation.
• A groupe de sept paquets de commerce électronique de marque (24 août) publié sous la même version 99.0.1 dans la même journée.
• Des paquets sur le thème de l'authentification sont apparus à plusieurs reprises sous cinq conventions d'appellation différentes au cours de la seconde moitié du mois : totp-utils, secretkey-2fa, secretkey2fa, 2fa-secretkey et auth-otp.

Le schéma déterminant du mois d'août : les attaquants utilisent de plus en plus des noms qui inspirent confiance, de vrais protocoles, de vrais outils, de vraies conventions internes de paquets, plutôt que des noms génériques, et ils le font par brèves séquences d'attaques, le même jour, conçues pour aller plus vite qu'un examen manuel.

Vous trouverez ci-dessous un résumé de nos conclusions. Les données complètes des quatre semaines sont disponibles en détail sur le site suivant : Index du résumé des codes malveillants.