მავნე კოდის დაიჯესტის ყოველთვიური შეჯამება: აგვისტო

კეთილი იყოს თქვენი მობრძანება Xygeni Malicious Code Digest-ის აგვისტოს გამოცემაში. ამ თვეში ჩვენმა უსაფრთხოების კვლევის ჯგუფმა დაადასტურა 407 მავნე პაკეტი npm-ზე, PyPI-სა და OpenVSX-ზე (VS Code გაფართოების ბაზარი), რომლებიც ოთხკვირიან დაიჯესტებში იქნა თვალყურის დევნილი.

აგვისტო სამი თანმხლები ტენდენციით განისაზღვრა: ერთი პოპულარული ღია კოდის ბიბლიოთეკის წინააღმდეგ მიმართული მდგრადი იმპერსონიზაციის კამპანია, რომელიც მრავალჯერადი წაშლის მცდელობის შემდეგაც კი გაგრძელდა; კოორდინირებული „იგივე ვერსია, იმავე დღეს“ ჯგუფები ათობით, სავარაუდოდ, ერთმანეთთან დაუკავშირებელი პაკეტის სახელზე, ერთი ოპერატორის ანაბეჭდი, რომლებიც ერთდროულად მრავალ ფრონტს მართავენ; და რეალური, სანდო სახელების, DeFi პროტოკოლების, Google-ის ღია კოდის ინსტრუმენტების და სხვა მსგავსი ტიპის ვერსიების ასახვისაკენ გადასვლა. enterprise შიდა პაკეტები, ზოგადი უსარგებლო სახელების ნაცვლად.

ამ თვეში დოკუმენტირებული ყველაზე აღსანიშნავი კამპანიებიდან:

• ბეილი, პოპულარული ღია კოდის WhatsApp Web API ბიბლიოთეკა, სამი კვირის განმავლობაში უწყვეტად იყო გაყალბებული ოთხი სხვადასხვა ფსევდონიმით (@mrlegendbot/baileys, cloud-baileys, @vanzxy/baileys, ourin-baileys), ერთად cloud-baileys მხოლოდ ის, სულ მცირე, ხუთჯერ გამოიცა აგვისტოს შუა რიცხვებიდან ბოლომდე.
• QuietPolyfill-ის ორიგინალური 20 პაკეტიანი npm dropper კამპანია საკუთარი სახელწოდებით გამოჩნდა, beaver-ui-drawer, accounts-timeline, accounts-final-form, bcore-bravo-eslint-configდა სხვებმა დაადასტურეს 1-3 აგვისტოს.
• A OpenVSX-ს ერთ დღეში 25-ზე მეტი პაკეტის ტალღა მოხვდა (2 აგვისტო), ESLint-ში, Rails-ში, WordPress-სა და ათობით სხვა ინსტრუმენტში რეალური დეველოპერის გაფართოებების იმიტაცია.
• A 17-პაკეტიანი DeFi კლასტერი (11 აგვისტო) მან Camelot-ის, Aerodrome Finance-ის, permit2-ისა და OpenZeppelin-ის კონტრაქტების ბიბლიოთეკების იმიტაცია განახორციელა, რომლებიც რამდენიმე საათში შესაბამის ვერსიებად გამოქვეყნდა.
• გასაოცარი ვარსკვლავური გროვა (13 აგვისტო) ტიპოსკუტანირებული ნამდვილი Google-ის ღია კოდის ინსტრუმენტები: gaarf, magika-js, bazeliskდა სერია *-webdriver-cli პაკეტები, 20 პაკეტი რეალურ ხელსაწყოებზე დაყრდნობით ერთ დღეში.
• A 21-პაკეტიანი კლასტერი, რომელიც ალელოს იმიტაციას ახდენდა, ბრაზილიური გადახდების კომპანია (14 აგვისტო), რომელიც ერთი ორგანიზაციის შიდა სახელთა სივრცის წინააღმდეგ მიზანმიმართული დამოკიდებულების დაბნეულობის მცდელობის ფორმას წარმოადგენდა.
• A შვიდი პაკეტისგან შემდგარი ელექტრონული კომერციის ბრენდირებული კლასტერი (24 აგვისტო) გამოქვეყნდა იდენტური ვერსიით 99.0.1 იმავე დღის განმავლობაში.
• თვის ბოლო ნახევარში ავთენტიფიკაციის თემატიკის პაკეტები ხუთი განსხვავებული დასახელების კონვენციის ქვეშ განმეორდა: totp-utils, secretkey-2fa, secretkey2fa, 2fa-secretkeyდა auth-otp.

აგვისტოს თვის განმსაზღვრელი ტენდენცია: თავდამსხმელები სულ უფრო ხშირად იყენებენ სახელებს, რომლებიც უკვე ცნობილნი არიან ნდობის საგანი, რეალურ პროტოკოლებს, რეალურ ინსტრუმენტებს, რეალურ შიდა პაკეტების კონვენციებს, ზოგადი შემავსებლის სახელების ნაცვლად და ამას აკეთებენ მჭიდრო, იმავე დღის აფეთქებებით, რომლებიც შექმნილია ხელით განხილვაზე უფრო სწრაფად გადასაადგილებლად.

ქვემოთ მოცემულია ჩვენი აღმოჩენების შეჯამება. ოთხივე კვირის მონაცემები სრულად შეგიძლიათ იხილოთ შემდეგ ბმულზე: მავნე კოდის დაიჯესტის ინდექსი.