悪意のあるコードに関する月次要約：8月

Xygeni悪意のあるコードダイジェスト8月号へようこそ。 今月、当社のセキュリティ調査チームは、npm、PyPI、およびOpenVSX（VS Code拡張機能マーケットプレイス）全体で407個の悪意のあるパッケージを確認しました。これは、4週間にわたる週次ダイジェストで追跡されたものです。

8 月は、3 つの収束する傾向によって特徴づけられました。1 つは、複数の削除試みを乗り越えて継続した、単一の人気オープンソースライブラリを標的とした持続的ななりすましキャンペーン。2つ目は、一見無関係な数十のパッケージ名にわたる「同じバージョン、同じ日」の協調的なクラスターで、これは複数のフロントを同時に実行している単一のオペレーターの痕跡です。3つ目は、実際の信頼できる名前、DeFi プロトコル、Google オープンソースツール、および enterprise 汎用的な無意味な名前ではなく、内部パッケージ名を使用する。

今月記録された最も注目すべきキャンペーンは以下のとおりです。

• ベイリーズ人気のあるオープンソースの WhatsApp Web API ライブラリが、4 つの異なるエイリアスを使用して 3 週間にわたって継続的になりすまされました (@mrlegendbot/baileys, cloud-baileys, @vanzxy/baileys, ourin-baileys）、 cloud-baileys 単独で、8月中旬から下旬にかけて少なくとも5回再掲載された。
• QuietPolyfillの オリジナルの20パッケージnpmドロッパーキャンペーンが独自の名前で再浮上し、 beaver-ui-drawer, accounts-timeline, accounts-final-form, bcore-bravo-eslint-configその他、8月1日～3日に確認された。
• A OpenVSXに25個以上のパッケージが1日で大量にリリースされた。 （8月2日）ESLint、Rails、WordPress、その他数十のツールで、実際の開発者拡張機能を装う。
• A 17個のパッケージからなるDeFiクラスター （8月11日）Camelot、Aerodrome Finance、permit2、およびOpenZeppelinの契約ライブラリを偽装し、数時間以内にすべて同じバージョンのペアで公開した。
• 印象的な群集（8月13日） グーグルのオープンソースツールをタイポスクワッティングした: gaarf, magika-js, bazelisk、そして *-webdriver-cli パッケージ、1日に20個のパッケージが実際のツール名を冠して出荷された。
• A 21個のパッケージからなるクラスタがAleloになりすましたブラジルの決済会社（8月14日）は、ある組織の内部ネームスペースに対する標的型依存関係混乱攻撃の形をとっていた。
• A 7つのパッケージからなるeコマースブランドのクラスター （8月24日）同一バージョンで公開 99.0.1 同日中に。
• 認証をテーマにしたパッケージは、月末にかけて5つの異なる命名規則の下で繰り返し登場した。 totp-utils, secretkey-2fa, secretkey2fa, 2fa-secretkey, auth-otp.

8月の特徴的なパターンは、攻撃者が汎用的な名前ではなく、既に信頼されている名前、実際のプロトコル、実際のツール、実際の内部パッケージの慣例などを模倣する傾向が強まっていること、そして手動によるレビューよりも迅速に対応できるよう、同じ日に短期間に集中して攻撃を仕掛けていることである。

以下は、我々が発見した内容の概要です。4週間分のデータはすべて、以下のリンクから詳細にご覧いただけます。 悪意のあるコードダイジェストインデックス.