Xygeni illgjarn kóða samantekt 73

Næstum í hverri viku, skaðforritagreiningarkerfi okkar skanna þúsundir nýrra og uppfærðra pakka í opinberum skrám eins og npm og PyPI. Þessi vika var mjög virk.

Við staðfestum 198 illgjarn pakkar, aðallega í npm, með viðbótartilfellum í PyPI, OpenVSX, Composer og VS Code viðbótum. Nokkur birtust í samhæfðum klösum, með endurteknum illgjörnum útgáfum sem gefnar voru út undir sömu nöfnum eða í nátengdum pakkafjölskyldum. Áberandi tilfelli var sensivity pakkanum, sem flæddi yfir 60 útgáfur af 2.5.x sviðinu yfir npm. Aðrir athyglisverðir klasar voru meðal annars ai-sdk-helpers (8 útgáfur sem miða að gervigreindarforriturum), @antoncallahan/aws-user-helper (7 útgáfur sem þykjast vera AWS tól), @apple-pay-trust og @google-pay-trust fjölskyldur (líkir eftir greiðslumáta), @frengki0707/google-cloud-clone (5 útgáfur sem herma eftir Google Cloud) og cms-storehub, cms-helpgitog cms-github (miðar á efnisstjórnunarkerfi pipelines). Margir pakkar líktu eftir greiðslu- og afgreiðslueiningum, enterprise og innri vefpakka, greiningarforrit, notendaviðmótsgrunnar, forritunartól, íhlutakönnuðir, skýja- og Google-þemapakkar og aðrar einingar sem almennt eru treystar í nútíma þróunarferlum.

Þetta voru ekki einangruð frávik. Það sem stóð upp úr í þessari viku var umfang endurtekinnar útgáfu innan sömu pakkafjölskyldna, endurnotkun nafngifta og hvernig illgjarnir pakkar voru dulbúnir til að líta út eins og lögmætar ósjálfstæðir þættir innan raunverulegrar hugbúnaðarafhendingar. pipelines.

Þessi vikulega yfirlitsmynd er hluti af áframhaldandi yfirliti okkar um skaðlegan kóða, þar sem við staðfestum nýjar ógnir og veitum nothæfar upplýsingar til að hjálpa DevSecOps teymum að vernda öryggi sitt. pipelineáður en tjón verður.

Við skulum skoða hvað við uppgötvuðum í þessari viku og hvers vegna það skiptir máli.