סיכום חודשי של תקציר קוד זדוני: אפריל

ברוכים הבאים למהדורה האחרונה של ה- סיכום קוד זדוני של Xygeni (מהדורה חודשית)שוב, צוות האבטחה שלנו ניתח טלמטריה של חבילות אמיתיות במרשמי רשתות ציבוריות כדי לזהות מה סורקים מסורתיים מתעלמים ממנו לעתים קרובות: קוד זדוני שנועד להשתלב בזרימות עבודה מהימנות של מפתחים.

במהלך השבועות האחרונים, אישרנו יותר מ-260 חבילות זדוניות, בעיקר על פני Npm, עם מקרים נוספים המשפיעים PyPI, VS Code, OpenVSX ו-Composerעם זאת, החודש הזה לא היה רק ​​עניין של נפח.

צוות המחקר שלנו ערך ניתוח מעמיק של איומים בעלי השפעה גבוהה, ובכלל זה:

גלי תוכנות זדוניות חוזרים שנבנו סביב כלים פנימיים מזויפים, חבילות בנושא בינה מלאכותית, מודולי תשלום ותשלום, לקוחות אנליטיקה, רכיבי ממשק קצה, כלי עזר למפתחים, קוברנטס וכלי ענן, הרחבות VS Code ו-OpenVSX, ופרצי גרסה חוזרים תחת אותן משפחות חבילות.

ניצול לרעה של אשכולות פרסום זדוניים מתואמים דפוסי מתן שמות אמינים דמויי מותג, enterpriseשמות חבילות הפונים, יסודות ממשק המשתמש, ערכות פיתוח תוכנה (SDK) לאינטרנט, חוקרי רכיבים, ו מרחבי שמות בסגנון פנימי נועד להשתלב באספקת תוכנה אמיתית pipelines.

אלה לא היו פשוטים ניסיונות טיפוסקווטינגהם היו מעורבים דפוסי ניצול לרעה של אישורים, מניפולציה בשרשרת האספקה, שימוש לרעה חוזר ונשנה במרחבי השמות, ו גלי פרסום זדוני נועד להשפיע על מציאות CI/CD pipelines ו סביבות ייצור.

מעבר לחקירות אלו, הגלים האחרונים המשיכו להראות פרסום מונע אוטומציה, אינפלציה בגרסה אגרסיבית, דפוסי התחזות של כלי פנימי, ו קיבוץ חבילות בין שמות קשוריםלצד טקטיקות קלאסיות כמו קלקול הקלדה, בלבול תלות, ו סינון נתוניםהמטרה נשארת עקבית: עקיפת היוריסטיקות אמון ופגיעה שקטה במערכות מפתחים לפני גילוי.

עדכון חודשי זה הוא חלק מההתנהלות המתמשכת שלנו דוח תוכנה זדונית, היכן שאנו מפרסמים ממצאים מאומתים, לאשר איומים מתעוררים, ולספק אינטליגנציה ברת ביצוע כדי לעזור צוותי DevSecOps להקדים סיכון שרשרת האספקה.

לקבלת הקשר מלא על פני כל חבילה זדונית שנותחה החודש, עיינו במידע המלא סיכום קוד זדוני.