Ringkasan Bulanan Malicious Code: Mei

Selamat datang di edisi Mei Xygeni Malicious Code Digest. Bulan ini, tim riset keamanan kami melanjutkan pelacakan lanskap ancaman rantai pasokan perangkat lunak yang terus berkembang di seluruh registri paket publik, alat pengembang, alur kerja yang dibantu AI, dan modern. CI/CD Sepanjang bulan Mei, Xygeni mengidentifikasi dan memvalidasi ratusan paket berbahaya yang menargetkan ekosistem npm, PyPI, VS Code, dan OpenVSX.

Namun, bulan Mei bukan hanya tentang volume serangan. Bulan itu juga merupakan bulan di mana para penyerang semakin menyesuaikan taktik mereka dengan lingkungan pengembangan berbasis AI, asumsi kepercayaan pengembang, dan otomatisasi. pipelines.

Di antara investigasi paling penting yang diterbitkan oleh Tim Keamanan Xygeni bulan ini:

• JulesJacker, sebuah kampanye malware npm multi-tahap yang menyamar sebagai agen AI Jules milik Google untuk mencuri repositori, melakukan penyalahgunaan CI/CD lingkungan, dan bahkan menargetkan sandbox dengan menganalisisnya. Kampanye ini memperkenalkan loader host-gated terenkripsi, palsu google-labs-jules[bot] commitpencurian metadata cloud, dan pengintaian Kubernetes terhadap infrastruktur analisis itu sendiri.
• Bot Hantu, sebuah kampanye npm berbahaya yang menyalahgunakan dompet palsu, blockchain, dan perangkat Web3 untuk mencuri kredensial, membahayakan lingkungan pengembang, dan menargetkan alur kerja terkait kripto melalui penyalahgunaan dependensi dan pengiriman muatan bertahap.
• Ekosistem npm berbahaya berskala besar yang menyalahgunakan utilitas TypeScript palsu, paket bertema AI, peniruan alat internal, pustaka frontend, pembantu cloud, dan kerangka kerja pembangun untuk mengidentifikasi lingkungan, mengeksfiltrasi kredensial, menerapkan persistensi, dan membahayakan sistem pengembang.
• Gelombang berkelanjutan dari paket-paket berbahaya yang memanfaatkan kebingungan dependensi, typosquatting, penyalahgunaan postinstall, peniruan alat AI, inflasi versi, dan penyalahgunaan namespace berulang yang dirancang untuk melewati heuristik kepercayaan pengembang dan membahayakan sistem modern. SDLC alur kerja sebelum deteksi.
• Penemuan kampanye malware lintas platform seperti @jaggle/resizeobserves Pembajak clipboard, yang menyamar sebagai paket yang sah sambil menerapkan persistensi berbasis Python dan substitusi clipboard dompet kripto di seluruh sistem Linux, macOS, dan Windows.

Sepanjang bulan ini, kami juga mengamati konvergensi yang semakin meningkat antara perangkat AI, ekosistem sumber terbuka, dan serangan rantai pasokan perangkat lunak. Pelaku ancaman semakin menargetkan alur kerja pengembangan yang dibantu AI, lingkungan agen, copilot, dan pembangunan cloud-native. pipelinesebagai bagian dari operasi pencurian kredensial dan peretasan repositori yang lebih luas.

Serangan-serangan ini bukan lagi kasus terisolasi dari praktik typosquatting sederhana. Serangan ini melibatkan kampanye penerbitan terkoordinasi, pembaruan versi otomatis, pencurian token cloud, CI/CD penyalahgunaan, penyiapan muatan terenkripsi, penghindaran sandbox, dan teknik kompromi berkelanjutan yang dirancang khusus untuk menyatu ke dalam ekosistem pengembang tepercaya.

Pembaruan bulanan ini merupakan bagian dari inisiatif riset ancaman malware dan rantai pasokan yang berkelanjutan dari Xygeni, di mana tim kami terus memvalidasi paket berbahaya, menyelidiki pola serangan yang muncul, dan menerbitkan informasi yang dapat ditindaklanjuti untuk membantu tim keamanan, AppSec, dan DevSecOps agar tetap selangkah lebih maju dalam menghadapi risiko rantai pasokan yang terus berkembang.

Untuk konteks lengkap mengenai setiap paket berbahaya, kampanye malware, dan analisis ancaman yang diterbitkan bulan ini, jelajahi Ringkasan Kode Berbahaya Mei lengkap dan riset terkait dari Tim Keamanan Xygeni.