Месечен преглед на Malicious Code Digest: мај

Добредојдовте во мајското издание на Xygeni Malicious Code Digest. Овој месец, нашиот тим за истражување на безбедноста продолжи да го следи еволутивниот пејзаж на заканите во синџирот на снабдување со софтвер низ јавните регистри на пакети, алатките за развивачи, работните процеси потпомогнати од вештачка интелигенција и модерните... CI/CD средини. Во текот на мај, Xygeni идентификуваше и валидираше стотици малициозни пакети насочени кон екосистемите npm, PyPI, VS Code и OpenVSX.

Но, мај не беше само за обемот. Тоа беше и месец во кој напаѓачите сè повеќе го прилагодуваа својот занает на развојни средини со вештачка интелигенција, претпоставки за доверба на програмерите и автоматизирани pipelines.

Меѓу најзначајните истраги објавени од тимот за безбедност на Xygeni овој месец:

• ЏулсЏекер, повеќестепена кампања за малициозен софтвер npm која се претставува како агентот на Google за вештачка интелигенција Jules за кражба на складишта, злоупотреба CI/CD средини, па дури и таргетирање на песочникот што го анализира. Кампањата воведе шифрирани вчитувачи со хост-порти, фалсификувани google-labs-jules[bot] commits, кражба на метаподатоци во облак и извидување на Kubernetes против самата инфраструктура за анализа.
• PhantomBot, злонамерна npm кампања која злоупотребува лажен паричник, блокчејн и Web3 алатки за кражба на акредитиви, компромитирање на средини за програмери и таргетирање на работни процеси поврзани со крипто преку злоупотреба на зависности и постепена испорака на товар.
• Голем злонамерен npm екосистем кој злоупотребува лажни TypeScript алатки, пакети со вештачка интелигенција, имитирање на внатрешни алатки, библиотеки на frontend, помагачи во облакот и рамки за градење за средини со отпечатоци од прсти, ексфилтрирање на акредитиви, распоредување на перзистентност и компромитирање на системи за развивачи.
• Континуирани бранови на злонамерни пакети кои ја искористуваат конфузијата во зависностите, пишувањето грешки, злоупотребата по инсталацијата, имитирањето на алатки со вештачка интелигенција, инфлацијата на верзии и повторената злоупотреба на именски простор, дизајнирани да ја заобиколат евристиката на довербата на програмерите и да ја компромитираат модерната технологија. SDLC работните процеси пред откривање.
• Откривањето на кампањи за малициозен софтвер на повеќе платформи, како што е @jaggle/resizeobserves киднапер на табла за пишување, кој се претстави како легитимен пакет додека распоредуваше перзистентност базирана на Python и замена на таблата за пишување со крипто-паричник низ системите Linux, macOS и Windows.

Во текот на месецот, исто така, забележавме растечка конвергенција помеѓу алатките со вештачка интелигенција, екосистемите со отворен код и нападите со синџирот на снабдување со софтвер. Заканите сè повеќе ги таргетираа работните процеси за развој потпомогнати од вештачка интелигенција, агентските средини, копилотите и градењето во облак. pipelines како дел од пошироки операции за кражба на акредитиви и компромитирање на складиште.

Овие напади повеќе не се изолирани случаи на едноставно запленување на печатни букви. Тие вклучуваат координирани кампањи за објавување, автоматизирани рафали на верзии, кражба на токени во облак, CI/CD злоупотреба, шифрирано поставување на товарот, избегнување на „sandbox“ и техники на постојано компромитирање, специјално дизајнирани да се вклопат во доверливи екосистеми на програмери.

Ова месечно ажурирање е дел од тековната иницијатива на Xygeni за истражување на малициозен софтвер и закани во синџирот на снабдување, каде што нашиот тим континуирано ги потврдува малициозните пакети, ги истражува новите модели на напади и објавува акциони информации за да им помогне на тимовите за безбедност, AppSec и DevSecOps да останат чекор со развојот на ризикот во синџирот на снабдување.

За целосен контекст низ секој злонамерен пакет, кампања за злонамерен софтвер и анализа на закани објавена овој месец, истражете го целиот мајски преглед на злонамерен код и сродните истражувања од тимот за безбедност на Xygeni.