Kenkėjiško kodo santraukos mėnesio apžvalga: gegužė

Sveikiname jus gegužės mėnesio „Xygeni“ kenkėjiškų kodų santraukos numeryje. Šį mėnesį mūsų saugumo tyrimų komanda toliau stebėjo besikeičiančią programinės įrangos tiekimo grandinės grėsmių aplinką viešuosiuose paketų registruose, kūrėjų įrankiuose, dirbtinio intelekto palaikomose darbo eigose ir moderniose... CI/CD aplinkos. Visą gegužę „Xygeni“ identifikavo ir patvirtino šimtus kenkėjiškų paketų, skirtų npm, PyPI, VS Code ir OpenVSX ekosistemoms.

Tačiau gegužė buvo ne tik apie apimtis. Tai buvo mėnuo, kai užpuolikai vis dažniau pritaikė savo prekybą prie dirbtinio intelekto pagrindu sukurtos kūrimo aplinkos, kūrėjų pasitikėjimo prielaidų ir automatizuotų... pipelines.

Tarp žymiausių „Xygeni“ saugumo komandos šį mėnesį paskelbtų tyrimų:

• JulesJacker, daugiapakopė npm kenkėjiškų programų kampanija, apsimetanti „Google“ „Jules AI“ agentu, siekiant pavogti saugyklas, piktnaudžiauti CI/CD aplinkas ir netgi taikytis į ją analizuojančią smėlio dėžę. Kampanijoje buvo pristatyti užšifruoti, pagrindinio kompiuterio valdomi įkrovikliai, suklastoti google-labs-jules[bot] commits, debesies metaduomenų vagystė ir „Kubernetes“ žvalgyba prieš pačią analizės infrastruktūrą.
• PhantomBot, kenkėjiška npm kampanija, piktnaudžiaujanti netikra pinigine, blokų grandine ir „Web3“ įrankiais, siekiant pavogti prisijungimo duomenis, pažeisti kūrėjų aplinkas ir taikytis į su kriptovaliutomis susijusius darbo eigą, piktnaudžiaujant priklausomybėmis ir etapais perduodant naudingąją informaciją.
• Didelės apimties kenkėjiška npm ekosistema, piktnaudžiaujanti netikromis „TypeScript“ programinėmis įrangomis, dirbtinio intelekto tematikos paketais, vidinių įrankių imitacija, priekinės dalies bibliotekomis, debesies pagalbininkais ir kūrimo priemonėmis, siekiant atpažinti aplinkas, išfiltruoti kredencialus, diegti nuolatinius duomenis ir pažeisti kūrėjų sistemas.
• Nuolatinės kenkėjiškų paketų bangos, išnaudojančios priklausomybių painiavą, rašybos klaidas, piktnaudžiavimą po įdiegimo, dirbtinio intelekto įrankių imitavimą, versijų infliaciją ir pakartotinį vardų sričių piktnaudžiavimą, skirtą apeiti kūrėjų pasitikėjimo euristiką ir pakenkti šiuolaikiniams sprendimams. SDLC darbo eigos prieš aptikimą.
• Tarpplatforminių kenkėjiškų programų kampanijų, tokių kaip @jaggle/resizeobserves iškarpinės užgrobėjas, kuris apsimetė teisėtu paketu, diegdamas „Python“ pagrindu veikiančią duomenų saugojimo ir kriptovaliutų piniginės iškarpinės pakeitimo funkciją „Linux“, „macOS“ ir „Windows“ sistemose.

Visą mėnesį taip pat stebėjome didėjantį dirbtinio intelekto įrankių, atvirojo kodo ekosistemų ir programinės įrangos tiekimo grandinės atakų suartėjimą. Grėsmių kūrėjai vis dažniau taikydavosi į dirbtinio intelekto padedamas kūrimo darbo eigas, agentų aplinkas, bendrus pilotus ir debesijos pagrindu veikiančias kūrimo platformas. pipelinekaip platesnių įgaliojimų vagysčių ir saugyklų kompromitavimo operacijų dalis.

Šios atakos nebėra pavieniai paprasto rašybos klaidinimo atvejai. Jos apima koordinuotas publikavimo kampanijas, automatinius versijų nutekėjimus, debesijos žetonų vagystes, CI/CD piktnaudžiavimas, užšifruoto turinio paruošimas, „smėlio dėžės“ apėjimas ir nuolatiniai kompromitavimo metodai, specialiai sukurti įsilieti į patikimas kūrėjų ekosistemas.

Šis mėnesinis atnaujinimas yra „Xygeni“ vykdomos kenkėjiškų programų ir tiekimo grandinės grėsmių tyrimų iniciatyvos dalis, kurios metu mūsų komanda nuolat tikrina kenkėjiškus paketus, tiria atsirandančius atakų modelius ir skelbia praktinę informaciją, padedančią saugumo, programų saugumo ir kūrimo saugumo operacijų komandoms neatsilikti nuo besikeičiančios tiekimo grandinės rizikos.

Norėdami gauti išsamų kontekstą apie kiekvieną šį mėnesį paskelbtą kenkėjišką paketą, kenkėjiškų programų kampaniją ir grėsmių analizę, peržiūrėkite išsamų gegužės mėnesio kenkėjiško kodo santrauką ir susijusius „Xygeni“ saugumo komandos tyrimus.