Xygeni Codice dannoso Digest 73

Quasi ogni settimanaI nostri sistemi di rilevamento malware analizzano migliaia di pacchetti nuovi e aggiornati su registri pubblici come npm e PyPI. Questa settimana è stata molto intensa.

Abbiamo confermato 198 pacchetti dannosi, principalmente su npm, con casi aggiuntivi in ​​PyPI, OpenVSX, Composer e nelle estensioni di VS Code. Diversi sono apparsi in cluster coordinati, con rilasci dannosi ripetuti pubblicati con gli stessi nomi o in famiglie di pacchetti strettamente correlate. Un caso eclatante è stato il sensivity pacchetto, che ha inondato npm con oltre 60 release versionate nell'intervallo 2.5.x. Altri cluster degni di nota includevano ai-sdk-helpers (8 versioni destinate agli sviluppatori di IA), @antoncallahan/aws-user-helper (7 versioni che simulano un'utilità AWS), @apple-pay-trust and @google-pay-trust famiglie (che imitano i moduli di pagamento al momento della chiusura), @frengki0707/google-cloud-clone (5 versioni che imitano Google Cloud) e cms-storehub, cms-helpgite cms-github (rivolto a CMS) pipelines). Molti pacchetti imitavano i moduli di pagamento e di checkout, enterprise e pacchetti web interni, client di analisi, basi per l'interfaccia utente, utilità per sviluppatori, esploratori di componenti, pacchetti a tema cloud e Google e altri moduli comunemente utilizzati nei moderni flussi di lavoro di sviluppo.

Non si trattava di anomalie isolate. Ciò che ha colpito questa settimana è stata la portata delle pubblicazioni ripetute all'interno delle stesse famiglie di pacchetti, il riutilizzo di schemi di denominazione e il modo in cui i pacchetti dannosi venivano camuffati per apparire come dipendenze legittime all'interno di una distribuzione software reale. pipelines.

Questa istantanea settimanale fa parte del nostro continuo Malicious Code Digest, in cui convalidiamo le nuove minacce e forniamo informazioni utili per aiutare i team DevSecOps a proteggere i loro pipelineprima che si verifichino danni.

Analizziamo nel dettaglio cosa abbiamo scoperto questa settimana e perché è importante.