Mjesečni sažetak Zlonamjernog koda: svibanj

Dobrodošli u svibanjsko izdanje Xygeni Malicious Code Digesta. Ovog mjeseca, naš tim za istraživanje sigurnosti nastavio je pratiti razvoj prijetnji lancu opskrbe softverom u javnim registrima paketa, alatima za razvojne programere, tijekovima rada potpomognutim umjetnom inteligencijom i modernim CI/CD okruženja. Tijekom svibnja, Xygeni je identificirao i validirao stotine zlonamjernih paketa usmjerenih na ekosustave npm, PyPI, VS Code i OpenVSX.

Ali svibanj nije bio samo mjesec o količini. Bio je to i mjesec u kojem su napadači sve više prilagođavali svoje vještine razvojnim okruženjima zasnovanim na umjetnoj inteligenciji, pretpostavkama o povjerenju programera i automatiziranim pipelines.

Među najznačajnijim istragama koje je ovog mjeseca objavio Xygeni Security Team:

• JulesJacker, višefazna NPM kampanja zlonamjernog softvera koja se lažno predstavlja kao Googleov Jules AI agent za krađu repozitorija, zloupotreba CI/CD okruženja, pa čak i ciljati sandbox analizirajući ga. Kampanja je uvela šifrirane učitavače ograničene na host-gate, krivotvorene google-labs-jules[bot] commits, krađa metapodataka u oblaku i izviđanje Kubernetes-a protiv same analitičke infrastrukture.
• PhantomBot, zlonamjernu npm kampanju koja zloupotrebljava lažne novčanike, blockchain i Web3 alate za krađu vjerodajnica, kompromitiranje razvojnih okruženja i ciljanje tijekova rada povezanih s kriptovalutama putem zloupotrebe ovisnosti i postupne isporuke korisnog tereta.
• Veliki zlonamjerni npm ekosustav koji zloupotrebljava lažne TypeScript uslužne programe, pakete s umjetnom inteligencijom, oponašanje internih alata, biblioteke frontenda, pomoćnike u oblaku i okvire za izradu sustava za otiske prstiju, krađu vjerodajnica, implementaciju perzistencije i kompromitiranje razvojnih sustava.
• Kontinuirani valovi zlonamjernih paketa koji iskorištavaju zbrku ovisnosti, tipografske pogreške, zlouporabu nakon instalacije, lažno predstavljanje AI alata, inflaciju verzija i ponovljenu zlouporabu imenskog prostora osmišljenu kako bi se zaobišla heuristika povjerenja programera i ugrozio moderni SDLC tijekove rada prije otkrivanja.
• Otkriće višeplatformskih zlonamjernih kampanja kao što su @jaggle/resizeobserves otmičara međuspremnika, koji se predstavljao kao legitimni paket dok je implementirao perzistenciju temeljenu na Pythonu i zamjenu međuspremnika kripto-novčanika na Linux, macOS i Windows sustavima.

Tijekom mjeseca također smo primijetili rastuću konvergenciju između alata umjetne inteligencije, ekosustava otvorenog koda i napada na lanac opskrbe softverom. Akteri prijetnji sve su više ciljali na tijekove razvoja potpomognute umjetnom inteligencijom, okruženja agenata, kopilote i izgradnju u oblaku. pipelinekao dio širih operacija krađe vjerodajnica i kompromitiranja repozitorija.

Ovi napadi više nisu izolirani slučajevi jednostavnog tiposquattinga. Uključuju koordinirane kampanje objavljivanja, automatizirane nalete verzija, krađu tokena u oblaku, CI/CD zlouporaba, šifrirano postavljanje korisnog tereta, izbjegavanje sandboxa i tehnike trajnog kompromitiranja posebno dizajnirane za uklapanje u pouzdane ekosustave programera.

Ovo mjesečno ažuriranje dio je Xygenijeve kontinuirane inicijative za istraživanje zlonamjernog softvera i prijetnji lancu opskrbe, gdje naš tim kontinuirano provjerava zlonamjerne pakete, istražuje nove obrasce napada i objavljuje korisne obavještajne podatke kako bi pomogao sigurnosnim, AppSec i DevSecOps timovima da ostanu ispred promjenjivih rizika u lancu opskrbe.

Za potpuni kontekst o svakom zlonamjernom paketu, kampanji zlonamjernog softvera i analizi prijetnji objavljenoj ovog mjeseca, istražite cijeli svibanjski Malicious Code Digest i povezana istraživanja Xygeni sigurnosnog tima.