Benvenuti all'edizione di agosto del Xygeni Malicious Code Digest. Questo mese, il nostro team di ricerca sulla sicurezza ha confermato la presenza di 407 pacchetti dannosi su npm, PyPI e OpenVSX (il marketplace delle estensioni di VS Code), monitorati attraverso quattro report settimanali.
Agosto è stato definito da tre tendenze convergenti: una campagna di impersonificazione sostenuta che ha preso di mira una singola libreria open-source popolare che è sopravvissuta a molteplici tentativi di rimozione; cluster coordinati "stessa versione, stesso giorno" su decine di nomi di pacchetti presumibilmente non correlati, l'impronta digitale di singoli operatori che gestiscono molti fronti contemporaneamente; e uno spostamento verso il mirroring di nomi reali e affidabili, protocolli DeFi, strumenti open-source di Google e enterprise pacchetti interni, anziché nomi generici e senza senso.
Tra le campagne più significative documentate questo mese:
- Baileys, una popolare libreria open-source WhatsApp Web API, è stata impersonata ininterrottamente per tre settimane distinte sotto quattro alias diversi (
@mrlegendbot/baileys,cloud-baileys,@vanzxy/baileys,ourin-baileys), concloud-baileysÈ stato ripubblicato almeno cinque volte tra la metà e la fine di agosto. - QuietPolyfill La campagna originale di dropper npm da 20 pacchetti è riemersa con i suoi nomi originali,
beaver-ui-drawer,accounts-timeline,accounts-final-form,bcore-bravo-eslint-confige altri, confermati dal 1° al 3 agosto. - A Oltre 25 pacchetti hanno invaso OpenVSX in un solo giorno. (2 agosto), simulando estensioni per sviluppatori reali su ESLint, Rails, WordPress e decine di altri strumenti.
- A Cluster DeFi di 17 pacchetti (11 agosto) hanno impersonato le librerie di contratti di Camelot, Aerodrome Finance, permit2 e OpenZeppelin, tutte pubblicate in coppie di versioni corrispondenti nel giro di poche ore.
- Un raggruppamento sorprendente (13 agosto) Strumenti open-source originali di Google con typosquat:
gaarf,magika-js,bazeliske una serie di*-webdriver-clipacchetti, 20 pacchetti che utilizzano nomi di strumenti reali in un solo giorno. - A Gruppo di 21 pacchetti impersonato Alelo, una società di pagamenti brasiliana (14 agosto), la forma di un tentativo mirato di confusione delle dipendenze contro lo spazio dei nomi interno di un'organizzazione.
- A cluster di sette pacchetti di marchi di e-commerce (24 agosto) pubblicato con la stessa versione
99.0.1entro la stessa giornata. - Nella seconda metà del mese, i pacchetti a tema autenticazione si sono ripresentati con cinque diverse denominazioni:
totp-utils,secretkey-2fa,secretkey2fa,2fa-secretkeyeauth-otp.
Il modello distintivo di agosto: gli aggressori imitano sempre più spesso nomi che godono già di fiducia, protocolli reali, strumenti reali, convenzioni interne di pacchetti reali, anziché nomi generici di riempimento, e lo fanno in brevi raffiche giornaliere, studiate per essere più rapide della revisione manuale.
Di seguito è riportato un riepilogo di ciò che abbiamo scoperto. Puoi visualizzare i dati di tutte e quattro le settimane divulgati in dettaglio su Indice di Malicious Code Digest.
Settimana 4: oltre 53 pacchetti scoperti
Settimana 3: oltre 34 pacchetti scoperti
Settimana 2: oltre 114 pacchetti scoperti
Settimana 1: oltre 206 pacchetti scoperti
Da Baileys alla DeFi: cosa rivelano gli attacchi alla catena di approvvigionamento di agosto
Le campagne di cui sopra non sono casi limite, sono ormai la norma. Impersonificazione prolungata di una singola libreria fidata, esplosioni di versioni nello stesso giorno su decine di nomi dall'aspetto non correlato e aggressori che replicano protocolli DeFi reali, strumenti Google reali e reali enterprise namespace invece di spazzatura generica, tutto ciò sta colpendo squadre reali in realtà SDLCogni settimana, spesso senza alcun intervento umano tra la pubblicazione e l'installazione.
Quello di Xygeni rilevamento di malware and piattaforma per la sicurezza della catena di approvvigionamento Offre alle organizzazioni la visibilità necessaria per individuare dipendenze dannose prima che vengano eseguite su una macchina di sviluppo, entrino in un sistema di build o raggiungano l'ambiente di produzione. La copertura si estende a npm, PyPI, OpenVSX e oltre, monitorando modelli di pubblicazione sospetti, abusi di namespace, typosquatting e tecniche di attacco basate sull'intelligenza artificiale non appena emergono.
Ogni risultato viene automaticamente classificato in base alla sfruttabilità, alla raggiungibilità e all'impatto sul business, in modo che il tuo team possa concentrarsi su ciò che effettivamente deve essere risolto, e non su elementi superflui.
Esplora ogni pacchetto e campagna dannosa convalidata dal team di sicurezza Xygeni in Digest del codice dannoso.
Mantieni la sicurezza. Mantieni la velocità. Mantieni il controllo con Xygeni.
