סיכום חודשי של תקציר קוד זדוני: מאי

ברוכים הבאים לגיליון מאי של Xygeni Malicious Code Digest. החודש, צוות מחקר האבטחה שלנו המשיך לעקוב אחר הנוף המתפתח של איומי שרשרת אספקה ​​של תוכנה ברישומי חבילות ציבוריים, כלי פיתוח, זרימות עבודה בסיוע בינה מלאכותית ומערכות מודרניות. CI/CD סביבות. במהלך חודש מאי, Xygeni זיהתה ואימתה מאות חבילות זדוניות המכוונות למערכות אקולוגיות של npm, PyPI, VS Code ו-OpenVSX.

אבל מאי לא היה רק ​​עניין של נפח. זה היה גם חודש שבו תוקפים התאימו יותר ויותר את כלי הפיתוח שלהם לסביבות פיתוח מבוססות בינה מלאכותית, הנחות אמון של מפתחים ותהליכים אוטומטיים. pipelines.

בין החקירות הבולטות ביותר שפורסמו על ידי צוות האבטחה של Xygeni החודש:

• ג'ולס ג'קרקמפיין תוכנות זדוניות רב-שלביות של npm, המתחזה לסוכן הבינה המלאכותית ג'ולס של גוגל, כדי לגנוב מאגרים ולהשתמש בהם לרעה. CI/CD סביבות, ואפילו לכוון את ארגז החול שמנתח אותו. הקמפיין הציג טוענים מוצפנים של מארח, מזויפים google-labs-jules[bot] commits, גניבת מטא-דאטה בענן וסיור של Kubernetes כנגד תשתית הניתוח עצמה.
• PhantomBot, קמפיין npm זדוני המשתמש לרעה בארנקים מזויפים, בלוקצ'יין וכלי Web3 כדי לגנוב אישורים, לפגוע בסביבות מפתחים ולמקד זרימות עבודה הקשורות לקריפטו באמצעות ניצול לרעה של תלות ומסירת מטען בשלבים.
• מערכת npm זדונית בקנה מידה גדול, המשתמשת לרעה בכלי עזר מזויפים של TypeScript, חבילות בנושא בינה מלאכותית, התחזות לכלי עבודה פנימיים, ספריות ממשק קדמי, עוזרי ענן ומסגרות בניה כדי לאתר סביבות טביעת אצבע, לגנוב אישורים, לפרוס נוכחות קבועה (persistens) ולסכן מערכות מפתחים.
• גלים מתמשכים של חבילות זדוניות הממנפות בלבול תלויות, typosquatting, שימוש לרעה לאחר התקנה, התחזות לכלי בינה מלאכותית, ניפוח גרסאות וניצול חוזר ונשנה של מרחבי שמות, שנועדו לעקוף היוריסטיקות אמון של מפתחים ולפגוע במערכות מודרניות. SDLC זרימות עבודה לפני גילוי.
• גילוי קמפיינים של תוכנות זדוניות חוצות פלטפורמות כמו @jaggle/resizeobserves חוטף לוח כתיבה, שהתחזה לחבילה לגיטימית בעת פריסת תוכנית persistence מבוססת Python והחלפת לוח כתיבה בארנק קריפטו במערכות לינוקס, macOS ו-Windows.

לאורך החודש, ראינו גם התכנסות גוברת בין כלי בינה מלאכותית, מערכות אקולוגיות בקוד פתוח ומתקפות שרשרת אספקה ​​של תוכנה. גורמי איום התמקדו יותר ויותר בזרימות עבודה של פיתוח בסיוע בינה מלאכותית, סביבות סוכנים, טייסי משנה ובנייה בענן. pipelineכחלק מפעולות רחבות יותר של גניבת אישורים ופריצה למאגרים.

התקפות אלו אינן עוד מקרים בודדים של טיפוסקווטינג פשוט. הן כוללות קמפיינים מתואמים של פרסום, פריצות גרסאות אוטומטיות, גניבת אסימוני ענן, CI/CD שימוש לרעה, בימוי מטען מוצפן, התחמקות מארגז חול וטכניקות פשרה מתמשכות שתוכננו במיוחד להשתלב במערכות אקולוגיות מהימנות של מפתחים.

עדכון חודשי זה הוא חלק מיוזמת המחקר המתמשכת של Xygeni בנושא תוכנות זדוניות ואיומי שרשרת אספקה, שבה הצוות שלנו מאמת באופן רציף חבילות זדוניות, חוקר דפוסי תקיפה מתפתחים ומפרסם מידע מעשי שיעזור לצוותי אבטחה, AppSec ו-DevSecOps להישאר צעד אחד קדימה בכל הנוגע לסיכוני שרשרת האספקה ​​המתפתחים.

לקבלת הקשר מלא על פני כל חבילה זדונית, קמפיין תוכנות זדוניות וניתוח איומים שפורסמו החודש, עיינו בתקציר הקוד הזדוני המלא של חודש מאי ובמחקר קשור של צוות האבטחה של Xygeni.