દૂષિત કોડ ડાયજેસ્ટ માસિક રીકેપ: એપ્રિલ

ની નવીનતમ આવૃત્તિમાં આપનું સ્વાગત છે ઝાયજેની મેલિશિયસ કોડ ડાયજેસ્ટ (માસિક આવૃત્તિ)ફરી એકવાર, અમારી સુરક્ષા ટીમે જાહેર રજિસ્ટ્રીઓમાં વાસ્તવિક પેકેજ ટેલિમેટ્રીનું વિશ્લેષણ કર્યું જેથી પરંપરાગત સ્કેનર્સ ઘણીવાર શું અવગણે છે તે ઓળખી શકાય: વિશ્વસનીય ડેવલપર વર્કફ્લોમાં ભળી જવા માટે રચાયેલ દૂષિત કોડ.

છેલ્લા કેટલાક અઠવાડિયામાં, અમે પુષ્ટિ કરી છે કે 260 થી વધુ દૂષિત પેકેજો, મુખ્યત્વે સમગ્ર npm, વધારાના કેસોને અસર કરતી સાથે PyPI, VS કોડ, OpenVSX, અને કંપોઝરજોકે, આ મહિનો ફક્ત જથ્થા વિશે જ નહોતો.

અમારી સંશોધન ટીમે હાથ ધર્યું ઉચ્ચ-અસરકારક જોખમોનું ઊંડાણપૂર્વક વિશ્લેષણ, સહિત:

વારંવાર આવતા માલવેર તરંગો નકલી આંતરિક સાધનો, AI-થીમ આધારિત પેકેજો, ચુકવણી અને ચેકઆઉટ મોડ્યુલ્સ, એનાલિટિક્સ ક્લાયન્ટ્સ, ફ્રન્ટએન્ડ ઘટકો, ડેવલપર ઉપયોગિતાઓ, કુબર્નેટ્સ અને ક્લાઉડ ટૂલિંગ, VS કોડ અને OpenVSX એક્સટેન્શન, અને પુનરાવર્તિત સંસ્કરણ સમાન પેકેજ પરિવારો હેઠળ બર્સ્ટ થાય છે.

સંકલિત દૂષિત પ્રકાશન ક્લસ્ટરોનો દુરુપયોગ વિશ્વસનીય બ્રાન્ડ જેવા નામકરણ પેટર્ન, enterprise-ફેસિંગ પેકેજ નામો, UI ફાઉન્ડેશન્સ, વેબ SDKs, ઘટક શોધકો, અને આંતરિક-શૈલી નામસ્થળો વાસ્તવિક સોફ્ટવેર ડિલિવરીમાં ભળી જવા માટે રચાયેલ છે pipelines.

આ સરળ નહોતા ટાઇપોસ્ક્વેટિંગના પ્રયાસો. તેઓ સામેલ હતા ઓળખપત્રના દુરુપયોગના દાખલા, સપ્લાય ચેઇન મેનીપ્યુલેશન, વારંવાર નેમસ્પેસનો દુરુપયોગ, અને દૂષિત પ્રકાશન તરંગો વાસ્તવિકતાને પ્રભાવિત કરવા માટે રચાયેલ છે CI/CD pipelines અને ઉત્પાદન વાતાવરણ.

આ તપાસ ઉપરાંત, તાજેતરના તરંગો બતાવવાનું ચાલુ રાખ્યું ઓટોમેશન-આધારિત પ્રકાશન, આક્રમક સંસ્કરણ ફુગાવો, આંતરિક-સાધન નકલ પેટર્ન, અને સંબંધિત નામોમાં પેકેજ ક્લસ્ટરિંગ, ક્લાસિક યુક્તિઓ સાથે જેમ કે ટાઇપોસ્ક્વેટિંગ, નિર્ભરતા મૂંઝવણ, અને ડેટા એક્સફિલ્ટ્રેશનઉદ્દેશ્ય સુસંગત રહે છે: ટ્રસ્ટ હ્યુરિસ્ટિક્સને બાયપાસ કરો અને શોધ પહેલાં શાંતિથી ડેવલપર સિસ્ટમ્સ સાથે સમાધાન કરો.

આ માસિક અપડેટ અમારા ચાલુ માલવેર રિપોર્ટ, જ્યાં અમે પ્રકાશિત કરીએ છીએ માન્ય તારણો, પુષ્ટિ કરો ઉભરતા જોખમો, અને પ્રદાન કરો કાર્યક્ષમ બુદ્ધિ મદદ કરવા માટે DevSecOps ટીમો આગળ રહો સપ્લાય ચેઇન જોખમ.

આ મહિને વિશ્લેષણ કરાયેલ દરેક દૂષિત પેકેજના સંપૂર્ણ સંદર્ભ માટે, સંપૂર્ણ અન્વેષણ કરો દૂષિત કોડ ડાયજેસ્ટ.