Récapitulatif mensuel de Malicious Code Digest : mai

Bienvenue dans l'édition de mai du bulletin Xygeni sur les codes malveillants. Ce mois-ci, notre équipe de recherche en sécurité a poursuivi le suivi de l'évolution des menaces pesant sur la chaîne d'approvisionnement logicielle, notamment les registres de paquets publics, les outils de développement, les flux de travail assistés par l'IA et les technologies modernes. CI/CD Environnements. Tout au long du mois de mai, Xygeni a identifié et validé des centaines de paquets malveillants ciblant les écosystèmes npm, PyPI, VS Code et OpenVSX.

Mais le mois de mai ne s'est pas limité au volume des attaques. Il a également été marqué par une adaptation croissante des techniques de piratage aux environnements de développement natifs de l'IA, aux présomptions de confiance des développeurs et à l'automatisation. pipelines.

Parmi les enquêtes les plus remarquables publiées ce mois-ci par l'équipe de sécurité de Xygeni :

• JulesJacker, une campagne de logiciels malveillants npm en plusieurs étapes imitant l'agent Jules AI de Google pour voler des dépôts et en abuser CI/CD environnements, et même cibler le bac à sable en l'analysant. La campagne a introduit des chargeurs hôtes chiffrés, des logiciels falsifiés google-labs-jules[bot] commits, vol de métadonnées cloud et reconnaissance Kubernetes contre l'infrastructure d'analyse elle-même.
• Bot fantôme, une campagne npm malveillante exploitant de faux portefeuilles, la blockchain et des outils Web3 pour voler des identifiants, compromettre les environnements de développement et cibler les flux de travail liés aux cryptomonnaies par le biais d'abus de dépendances et de la livraison de charges utiles par étapes.
• Un vaste écosystème npm malveillant exploitant de faux utilitaires TypeScript, des packages sur le thème de l'IA, l'usurpation d'identité d'outils internes, des bibliothèques frontend, des assistants cloud et des frameworks de construction pour identifier les environnements, exfiltrer les informations d'identification, déployer la persistance et compromettre les systèmes des développeurs.
• Des vagues continues de paquets malveillants exploitant la confusion des dépendances, le typosquatting, les abus post-installation, l'usurpation d'identité d'outils d'IA, l'inflation de versions et l'abus répété d'espaces de noms sont conçues pour contourner les heuristiques de confiance des développeurs et compromettre les systèmes modernes. SDLC flux de travail avant la détection.
• La découverte de campagnes de logiciels malveillants multiplateformes telles que @jaggle/resizeobserves Un pirate de presse-papiers qui usurpait l'identité d'un paquet légitime tout en déployant une persistance basée sur Python et une substitution de presse-papiers par portefeuille crypto sur les systèmes Linux, macOS et Windows.

Tout au long du mois, nous avons également observé une convergence croissante entre les outils d'IA, les écosystèmes open source et les attaques ciblant la chaîne d'approvisionnement logicielle. Les acteurs malveillants ont de plus en plus ciblé les flux de travail de développement assistés par l'IA, les environnements d'agents, les copilotes et les environnements de développement natifs du cloud. pipelinedans le cadre d'opérations plus vastes de vol d'identifiants et de compromission de référentiels.

Ces attaques ne sont plus de simples cas isolés de typosquatting. Elles impliquent des campagnes de publication coordonnées, des mises à jour de versions automatisées, le vol de jetons cloud, CI/CD abus, mise en place de charges utiles chiffrées, contournement des environnements sandbox et techniques de compromission persistantes spécifiquement conçues pour s'intégrer aux écosystèmes de développeurs de confiance.

Cette mise à jour mensuelle s'inscrit dans le cadre de l'initiative de recherche continue de Xygeni sur les logiciels malveillants et les menaces pesant sur la chaîne d'approvisionnement, dans le cadre de laquelle notre équipe valide en permanence les packages malveillants, enquête sur les nouveaux modèles d'attaque et publie des renseignements exploitables pour aider les équipes de sécurité, de sécurité des applications et de DevSecOps à garder une longueur d'avance sur l'évolution des risques liés à la chaîne d'approvisionnement.

Pour un contexte complet sur chaque package malveillant, campagne de logiciels malveillants et analyse de menaces publiés ce mois-ci, consultez le rapport complet de mai sur les codes malveillants et les recherches connexes de l'équipe de sécurité Xygeni.