„Xygeni“ kenkėjiško kodo santrauka 73

Beveik kiekvieną savaitęMūsų kenkėjiškų programų aptikimo sistemos nuskaito tūkstančius naujų ir atnaujintų paketų viešuosiuose registruose, tokiuose kaip npm ir PyPI. Ši savaitė buvo labai aktyvi.

Mes patvirtinome 198 kenkėjiškų paketų, daugiausia npm, su papildomais atvejais PyPI, OpenVSX, Composer ir VS Code plėtiniuose. Keletas atvejų pasirodė koordinuotose grupėse, o kenkėjiškos versijos buvo paskelbtos tais pačiais pavadinimais arba glaudžiai susijusiose paketų šeimose. Išskirtinis atvejis buvo sensivity paketas, kuris užtvindė npm daugiau nei 60 versijų leidimų visoje 2.5.x versijoje. Kiti žymūs klasteriai buvo ai-sdk-helpers (8 versijos, skirtos dirbtinio intelekto kūrėjams), @antoncallahan/aws-user-helper (7 versijos, apsimetančios AWS įrankiu), @apple-pay-trust bei @google-pay-trust šeimos (mėgdžiojančios mokėjimo ir atsiskaitymo modulius), @frengki0707/google-cloud-clone (5 versijos, imituojančios „Google Cloud“) ir cms-storehub, cms-helpgitir cms-github (nukreipta į TVS) pipelines). Daugelyje paketų buvo imituojami mokėjimo ir atsiskaitymo moduliai, enterprise ir vidinius žiniatinklio paketus, analizės klientus, vartotojo sąsajos pagrindus, kūrėjų įrankius, komponentų naršykles, debesijos ir „Google“ tematikos paketus bei kitus modulius, kuriais dažniausiai pasitikima šiuolaikiniuose kūrimo darbo eigose.

Tai nebuvo pavieniai anomalijos. Šią savaitę į akis krito pakartotinio publikavimo tose pačiose paketų šeimose mastas, pavadinimų šablonų pakartotinis naudojimas ir tai, kaip kenkėjiški paketai buvo maskuojami taip, kad atrodytų kaip teisėtos priklausomybės realiame programinės įrangos tiekime. pipelines.

Ši savaitinė apžvalga yra mūsų nuolat vykdomo kenkėjiško kodo santraukos dalis, kurioje tikriname naujas grėsmes ir teikiame praktinę informaciją, padėsiančią „DevSecOps“ komandoms apsaugoti savo... pipelines prieš atsirandant žalai.

Aptarkime, ką atradome šią savaitę ir kodėl tai svarbu.